CAPTCHAund Challenge Handlungsverhalten

Wenn eine Webanforderung den Prüfkriterien einer Regel mit CAPTCHA oder einer Challenge Aktion entspricht, AWS WAF wird anhand des Status des Tokens und der Konfiguration der Immunitätszeit festgelegt, wie die Anfrage behandelt werden soll. AWS WAF berücksichtigt auch, ob die Anfrage die CAPTCHA-Puzzle- oder Challenge-Skriptinterstitials verarbeiten kann. Die Skripts sind so konzipiert, dass sie als HTML-Inhalt behandelt werden können, und sie können nur von einem Client korrekt verarbeitet werden, der HTML-Inhalt erwartet.

Anmerkung

Ihnen werden zusätzliche Gebühren berechnet, wenn Sie die Challenge Regelaktion CAPTCHA oder in einer Ihrer Regeln oder als Überschreibung von Regelaktionen in einer Regelgruppe verwenden. Weitere Informationen finden Sie unter AWS WAF -Preisgestaltung.

Wie die Aktion mit der Webanfrage umgeht

AWS WAF wendet die Challenge Aktion CAPTCHA oder wie folgt auf eine Webanforderung an:

• Gültiges Token — AWS WAF behandelt dies ähnlich wie eine Count Aktion. AWS WAF wendet alle Labels an und fordert Anpassungen an, die Sie für die Regelaktion konfiguriert haben, und bewertet dann die Anforderung anhand der verbleibenden Regeln in der Web-ACL weiter.

• Fehlendes, ungültiges oder abgelaufenes Token — beendet AWS WAF die Web-ACL-Auswertung der Anfrage und verhindert, dass sie an ihr beabsichtigtes Ziel weitergeleitet wird.

  AWS WAF generiert eine Antwort, die entsprechend dem Aktionstyp der Regel an den Client zurückgesendet wird:

  • Challenge— AWS WAF schließt Folgendes in die Antwort ein:

    • Den Header x-amzn-waf-action mit einem Wert von challenge.

      Anmerkung

      Dieser Header ist für JavaScript Anwendungen, die im Client-Browser ausgeführt werden, nicht verfügbar. Einzelheiten finden Sie im folgenden Abschnitt.

    • Den HTTP-Statuscode 202 Request Accepted.

    • Wenn die Anfrage einen Accept Header mit dem Wert von enthälttext/html, enthält die Antwort ein JavaScript Seiteninterstitial mit einem Challenge-Skript.

  • CAPTCHA— AWS WAF beinhaltet Folgendes in der Antwort:

    • Den Header x-amzn-waf-action mit einem Wert von captcha.

      Anmerkung

      Dieser Header ist für JavaScript Anwendungen, die im Client-Browser ausgeführt werden, nicht verfügbar. Einzelheiten finden Sie im folgenden Abschnitt.

    • Den HTTP-Statuscode 405 Method Not Allowed.

    • Wenn die Anfrage einen Accept Header mit dem Wert von enthälttext/html, enthält die Antwort ein JavaScript Seiteninterstitial mit einem CAPTCHA-Skript.

Informationen zur Konfiguration des Ablaufs von Token auf Web-ACL- oder Regelebene finden Sie unter. Ablauf des Zeitstempels: Zeiten der AWS WAF Token-Immunität

Header sind für JavaScript Anwendungen, die im Clientbrowser ausgeführt werden, nicht verfügbar

Wenn AWS WAF auf eine Client-Anfrage mit einem CAPTCHA oder einer Challenge-Antwort geantwortet wird, sind keine CORS-Header (Cross-Origin Resource Sharing) enthalten. CORS-Header sind eine Reihe von Zugriffskontroll-Headern, die dem Client-Webbrowser mitteilen, welche Domänen, HTTP-Methoden und HTTP-Header von Anwendungen verwendet werden können. JavaScript Ohne CORS-Header erhalten JavaScript Anwendungen, die in einem Clientbrowser ausgeführt werden, keinen Zugriff auf HTTP-Header und können daher den in den Antworten und angegebenen x-amzn-waf-action Header nicht lesen. CAPTCHA Challenge

Was bewirken die Challenge und die CAPTCHA-Interstitials

Wenn ein Challenge-Interstitial ausgeführt wird, nachdem der Client erfolgreich geantwortet hat und er noch kein Token hat, initialisiert das Interstitial eines dafür. Dann aktualisiert es das Token mit dem Zeitstempel für die Problemlösung.

Wenn ein CAPTCHA-Interstitial ausgeführt wird und der Client noch kein Token hat, ruft das CAPTCHA-Interstitial zuerst das Challenge-Skript auf, um den Browser herauszufordern und das Token zu initialisieren. Dann führt das Interstitial sein CAPTCHA-Puzzle aus. Wenn der Endbenutzer das Rätsel erfolgreich gelöst hat, aktualisiert das Interstitial das Token mit dem CAPTCHA-Lösungszeitstempel.

In beiden Fällen sendet das Skript, nachdem der Client erfolgreich geantwortet hat und das Skript das Token aktualisiert hat, die ursprüngliche Webanfrage erneut mit dem aktualisierten Token.

Sie können konfigurieren, wie mit Tokens AWS WAF umgegangen wird. Weitere Informationen finden Sie unter AWS WAF Webanforderungstoken.