Utilisation de transformations de texte préalables à l'analyse dans AWS WAF

Pre-parse les transformations de texte normalisent la chaîne de requête brute avant de AWS WAF l'analyser en arguments de requête individuels. Ces transformations répondent aux attaques différentielles des analyseurs et à la pollution des paramètres HTTP (HPP), où les attaquants codent ou manipulent des délimiteurs de chaînes de requête pour contourner les règles d'inspection.

Vous ne pouvez utiliser des transformations de texte préalables à l'analyse que lorsque le composant de requête est SingleQueryArgument ou. AllQueryArguments AWS WAF applique les transformations de texte avant l'analyse avant les transformations de texte standard. Vous pouvez spécifier jusqu'à 10 transformations de texte avant analyse par instruction de règle. Chaque transformation de texte préalable à l'analyse ajoute 10 WCU au coût de l'instruction de règle.

Dans l'API, vous configurez les transformations de texte avant l'analyse à l'aide du PreParseTextTransformations paramètre facultatif de votre déclaration de règle.

Note

Si vous n'avez pas besoin d'une normalisation préalable à l'analyse, ne spécifiez pas de transformation de texte avant l'analyse. Le comportement par défaut est NONE le suivant : la chaîne de requête brute est transmise à l'analyseur sans modification.

Les transformations de texte pré-analyse suivantes sont disponibles.

None – NONE

AWS WAF inspecte la requête Web telle qu'elle a été reçue, sans aucune transformation de texte préalable à l'analyse.

URL decode – URL_DECODE

AWS WAF URL-decodes la chaîne de requête brute avant l'analyse. Décode les séquences %HH (par exemple, %26 devient & et %3D devient =). Cela peut exposer de nouvelles limites de paramètres de requête précédemment codées.

URL decode Unicode – URL_DECODE_UNI

URL_DECODESimilaire, mais décode également les Unicode-encoded séquences (%uHHHh). Si le code se trouve dans la plage de codes ASCII dans toute sa largeur de FF01-FF5E, l'octet supérieur est utilisé pour détecter et ajuster l'octet inférieur. Sinon, seul l'octet inférieur est utilisé et l'octet supérieur est mis à zéro.

Combine duplicate query arguments by comma – COMBINE_DUPLICATE_QUERY_ARGS_BY_COMMA

AWS WAF fusionne toutes les valeurs des clés de paramètres de requête dupliquées en une seule chaîne séparée par des virgules (0x2C) à la première position d'occurrence, puis supprime les doublons ultérieurs. Par exemple, a=1&b=2&a=3 devient a=1,3&b=2. Utilisez cette transformation lorsque votre backend combine des paramètres de requête dupliqués dans des tableaux. Cela est courant dans .NET, API Gateway et Express.js. AWS WAF inspecte la valeur combinée comme une unité unique.

Replace semicolons with ampersands – REPLACE_SEMICOLONS_WITH_AMPERSANDS

AWS WAF remplace tous les points-virgules (0x3B) de la chaîne de requête brute par des esperluettes (0x26) avant l'analyse. Certains frameworks et services Web, notamment les AWS API REST API Gateway, considèrent les points-virgules comme des délimiteurs de paramètres de requête équivalents à des esperluettes. Cette transformation normalise la chaîne de requête. AWS WAF puis divise par des points-virgules de la même manière que votre backend, garantissant une analyse cohérente des paramètres.