安全问题一 云下一代墙为什么没有拦截住目录遍历的漏洞

问题背景：云墙的工程师下班后call我，说客户因为被扫出了目录遍历的漏洞，要云墙这边出故障报告！！！听到后我就惊呆了，这怎么能算故障呢？云墙的工程师委屈说对方态度很强烈，还去查了特征库，我看让我的小兄弟这么委屈，于是我决定会一会他们。

先看一眼报告吧 ！存在任意文件下载漏洞，再一看链接是https://xxx/innovation-web/uploadController/getFile?filename=../../../etc/shadow。

同时对方说是有拦截记录的，为什么这个没有被拦住，看一下拦截报告。

发现猫腻了，拦截的是HTTP，但是出问题的是HTTPS链接，再根据以往的了解，云墙一般不会导入证书。真相只有一个，那就是HTTPS的URL是加密的。这里要感谢小林大神的一篇文章《HTTPS 会加密 URL 吗？》

因为 URL 的信息都是保存在 HTTP Header 中的，而 HTTPS 是会对 HTTP Header + HTTP Body 整个加密的，所以 URL 自然是会被加密的。 问题解答完毕，最后再推一下我们的云WAF美滋滋。