使用案例特定规则组

特定于用例的规则组为许多不同的 AWS WAF 用例提供增量保护。选择适用于您的应用程序的规则组。

SQL数据库管理的规则组

VendorName:AWS，名称：AWSManagedRulesSQLiRuleSet，WCU：200

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

SQL数据库规则组包含用于阻止与利用SQL数据库相关的请求模式（例如SQL注入攻击）的规则。该规则组有助于防止远程注入未经授权的查询。评估此规则组，以便在您的应用程序与SQL数据库接口时使用。

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
SQLi_QUERYARGUMENTS	使用内置 AWS WAF SQL 注入攻击规则语句，灵敏度级别设置为 Low，检查所有查询参数的值中是否存在与恶意SQL代码匹配的模式。 规则操作：Block 标签：awswaf:managed:aws:sql-database:SQLi_QueryArguments
SQLiExtendedPatterns_QUERYARGUMENTS	检查所有查询参数的值中是否存在与恶意SQL代码匹配的模式。该规则检查的模式不在规则 SQLi_QUERYARGUMENTS 的范围内。 规则操作：Block 标签：awswaf:managed:aws:sql-database:SQLiExtendedPatterns_QueryArguments
SQLi_BODY	使用内置 AWS WAF SQL 注入攻击规则语句，灵敏度级别设置为 Low，检查请求正文中是否存在与恶意SQL代码匹配的模式。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:sql-database:SQLi_Body
SQLiExtendedPatterns_BODY	检查请求正文中是否存在与恶意SQL代码匹配的模式。该规则检查的模式不在规则 SQLi_BODY 的范围内。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:sql-database:SQLiExtendedPatterns_Body
SQLi_COOKIE	使用内置 AWS WAF SQL 注入攻击规则语句，灵敏度级别设置为 Low，检查请求 Cookie 标头中是否存在与恶意SQL代码匹配的模式。 规则操作：Block 标签：awswaf:managed:aws:sql-database:SQLi_Cookie

Linux 操作系统托管规则组

VendorName:AWS，名称：AWSManagedRulesLinuxRuleSet，WCU：200

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

Linux 操作系统规则组包含的规则可阻止与利用 Linux 特有的漏洞（包括 Linux 特有的本地文件包含 () LFI 攻击）相关的请求模式。该规则组有助于防止暴露攻击者不应当访问的文件内容或执行代码的攻击。如果应用程序的任何部分在 Linux 上运行，则应评估此规则组。您应将此规则组与 POSIX操作系统 规则组结合使用。

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
LFI_URIPATH	检查请求路径中是否有人企图利用 Web 应用程序中的 “本地文件包含” (LFI) 漏洞。示例模式包括类似于 /proc/version 的文件，它们可能向攻击者提供操作系统信息。 规则操作：Block 标签：awswaf:managed:aws:linux-os:LFI_URIPath
LFI_QUERYSTRING	检查 querystring 的值是否有人企图利用 Web 应用程序中的 “本地文件包含” (LFI) 漏洞。示例模式包括类似于 /proc/version 的文件，它们可能向攻击者提供操作系统信息。 规则操作：Block 标签：awswaf:managed:aws:linux-os:LFI_QueryString
LFI_HEADER	检查请求标头中是否有人企图利用 Web 应用程序中的 “本地文件包含” (LFI) 漏洞。示例模式包括类似于 /proc/version 的文件，它们可能向攻击者提供操作系统信息。 警告 此规则仅检查请求标头的前 8 KB 或前 200 个标头（以先达到的限制为准），并且它使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:linux-os:LFI_Header

POSIX操作系统托管的规则组

VendorName:AWS，名称：AWSManagedRulesUnixRuleSet，WCU：100

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

POSIX操作系统规则组包含的规则用于阻止与利用特定于POSIX和POSIX类似操作系统的漏洞（包括本地文件包含 (LFI) 攻击）相关的请求模式。该规则组有助于防止暴露攻击者不应当访问的文件内容或执行代码的攻击。如果应用程序的任何部分在POSIX或POSIX类似的操作系统上运行，包括 Linux、HP-UX、macOS、Solaris AIX、Free 和 Open，则应评估此规则组。BSD BSD

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
UNIXShellCommandsVariables_QUERYSTRING	检查查询字符串的值是否有人企图利用在 Unix 系统上运行的 Web 应用程序中的命令注入和路径遍历漏洞。LFI示例包括类似于 echo $HOME 和 echo $PATH 的模式。 规则操作：Block 标签：awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_QueryString
UNIXShellCommandsVariables_BODY	检查请求正文中是否有人企图利用在 Unix 系统上运行的 Web 应用程序中的命令注入和路径遍历漏洞。LFI示例包括类似于 echo $HOME 和 echo $PATH 的模式。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_Body
UNIXShellCommandsVariables_HEADER	检查所有请求标头是否有人企图利用在 Unix 系统上运行的 Web 应用程序中的命令注入和路径遍历漏洞。LFI示例包括类似于 echo $HOME 和 echo $PATH 的模式。 警告 此规则仅检查请求标头的前 8 KB 或前 200 个标头（以先达到的限制为准），并且它使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:posix-os:UNIXShellCommandsVariables_Header

Windows 操作系统托管规则组

VendorName:AWS，名称：AWSManagedRulesWindowsRuleSet，WCU：200

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

Windows 操作系统规则组包含的规则用于阻止与利用 Windows 特有的漏洞（例如远程执行 PowerShell 命令）相关的请求模式。该规则组有助于防止利用允许攻击者运行未经授权的命令或执行恶意代码的漏洞。如果应用程序的任何部分在 Windows 操作系统上运行，则应评估此规则组。

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
WindowsShellCommands_COOKIE	检查 Web 应用程序中是否有 WindowsShell 命令注入尝试的请求 cookie 标头。匹配模式代表WindowsShell 命令。示例模式包括 ||nslookup 和 ;cmd。 规则操作：Block 标签：awswaf:managed:aws:windows-os:WindowsShellCommands_Cookie
WindowsShellCommands_QUERYARGUMENTS	检查 Web 应用程序中WindowsShell 命令注入尝试的所有查询参数的值。匹配模式代表WindowsShell 命令。示例模式包括 ||nslookup 和 ;cmd。 规则操作：Block 标签：awswaf:managed:aws:windows-os:WindowsShellCommands_QueryArguments
WindowsShellCommands_BODY	检查请求正文中是否有 Web 应用程序中的 WindowsShell 命令注入尝试。匹配模式代表 WindowsShell 命令。示例模式包括 ||nslookup 和 ;cmd。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:windows-os:WindowsShellCommands_Body
PowerShellCommands_COOKIE	检查 Web 应用程序中是否有 PowerShell 命令注入尝试的请求 cookie 标头。匹配模式代表PowerShell 命令。例如，Invoke-Expression。 规则操作：Block 标签：awswaf:managed:aws:windows-os:PowerShellCommands_Cookie
PowerShellCommands_QUERYARGUMENTS	检查 Web 应用程序中PowerShell 命令注入尝试的所有查询参数的值。匹配模式代表PowerShell 命令。例如，Invoke-Expression。 规则操作：Block 标签：awswaf:managed:aws:windows-os:PowerShellCommands_QueryArguments
PowerShellCommands_BODY	检查请求正文中是否有 Web 应用程序中的 PowerShell 命令注入尝试。匹配模式代表 PowerShell 命令。例如，Invoke-Expression。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:windows-os:PowerShellCommands_Body

PHP应用程序托管规则组

VendorName:AWS，名称：AWSManagedRulesPHPRuleSet，WCU：100

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

PHP应用程序规则组包含的规则用于阻止与利用PHP编程语言特有的漏洞相关的请求模式，包括注入不安全的PHP函数。该规则组有助于防止利用允许攻击者远程执行未经授权的代码或命令的漏洞。评估此规则组PHP是否安装在与您的应用程序交互的任何服务器上。

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
PHPHighRiskMethodsVariables_HEADER	检查所有标头中是否有PHP脚本代码注入尝试。示例模式包括类似 fsockopen 和 $_GET 超全局变量的函数。 警告 此规则仅检查请求标头的前 8 KB 或前 200 个标头（以先达到的限制为准），并且它使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_Header
PHPHighRiskMethodsVariables_QUERYSTRING	检查请求?中第一个请求之后的所有内容URL，寻找PHP脚本代码注入尝试。示例模式包括类似 fsockopen 和 $_GET 超全局变量的函数。 规则操作：Block 标签：awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_QueryString
PHPHighRiskMethodsVariables_BODY	检查请求正文的值是否有PHP脚本代码注入尝试。示例模式包括类似 fsockopen 和 $_GET 超全局变量的函数。 警告 此规则仅检查请求正文，但不得超过 Web ACL 和资源类型的正文大小限制。对于 Application Load Balancer 和 AWS AppSync，限制固定为 8 KB。对于 API Gateway CloudFront、Amazon Cognito、App Runner 和已验证访问权限，默认限制为 16 KB，您可以在网页ACL配置中将限制提高到 64 KB。此规则使用 Continue 选项来处理超大内容。有关更多信息，请参阅 中的 Web 请求组件过大 AWS WAF。 规则操作：Block 标签：awswaf:managed:aws:php-app:PHPHighRiskMethodsVariables_Body

WordPress 应用程序托管规则组

VendorName:AWS，名称：AWSManagedRulesWordPressRuleSet，WCU：100

注意

本文档涵盖了该托管规则组的最新静态版本。我们在变更日志中报告版本变更，网址为AWS 托管规则变更日志。有关其他版本的信息，请使用API命令DescribeManagedRuleGroup。

我们在 AWS 托管规则组中发布的规则信息旨在为您提供使用规则所需的信息，而不会向不良行为者提供他们规避规则所需的信息。

如果您需要的信息超出此处的范围，请联系AWS 支持 中心。

WordPress 应用程序规则组包含的规则用于阻止与利用特定于WordPress 网站的漏洞相关的请求模式。如果您正在运行，则应评估此规则组WordPress。此规则组应与 SQL 数据库 和 PHP 应用程序 规则组一起使用。

此托管规则组会为其评估的 Web 请求添加标签，这些标签可用于在您的 Web ACL 中在此规则组之后运行的规则。 AWS WAF 还会记录亚马逊 CloudWatch 指标的标签。有关标签和标签指标的一般信息，请参阅 网络请求标签 和 标签指标和维度。

Rule name（规则名称）	描述和标签
WordPressExploitableCommands_QUERYSTRING	检查请求查询字符串中是否存在可能在易受攻击的安装或插件中被利用的高风险WordPress 命令。示例模式包括类似于 do-reset-wordpress 的命令。 规则操作：Block 标签：awswaf:managed:aws:wordpress-app:WordPressExploitableCommands_QUERYSTRING
WordPressExploitablePaths_URIPATH	检查请求URI路径中是否有已知容易被利用的漏洞（如xmlrpc.php此类 WordPress 文件）。 规则操作：Block 标签：awswaf:managed:aws:wordpress-app:WordPressExploitablePaths_URIPATH