amazon-web-services - AWS WAF 在尝试上传图像时出现 403 禁止错误

Question

我们在我的 ALB 之前启用了 AWS WAF 解决方案，并启用了 SQL 注入(inject)和 XSS 检测。我们尝试设置自定义规则以使用正则表达式检查内容类型是否为 multipart/form-data*。
我们已经设置了具有更高优先级的自定义规则。使用自定义规则时，图像被上传，但脚本标签不被禁止。如果我们尝试上传图像，则没有自定义规则，仅一张特定图像不会被上传并抛出 403 禁止。
关于添加 XSS 和自定义规则以允许图像上传的任何提示？

Answer 1

检查您的图像元数据。我最近遇到了这个问题，并且在 ACL 日志中收到“GenericRFI_BODY”错误。事实证明，我上传的测试图像的 exif 数据中有一条非法路径。在某个元数据字段中有一个 URL 指向图像来自的站点，并且该 URL 中的“://”模式触发了该规则。从图像中剥离元数据允许它上传。
我强烈反对使用 base64 编码来规避防火墙规则。这会增加文件的大小，并且 multipart/form-data 专门用于从客户端到服务器来回传输大型二进制文件 - 而不是发布大量序列化文本 block 。
这是 RFC:https://www.ietf.org/rfc/rfc2388.txt