零日漏洞尚未公开时，WAF仍可依据攻击载荷、协议与请求结构异常，以及偏离应用预期的输入，降低部分漏洞被利用的风险。NIST将零日攻击定义为利用此前未知的硬件、固件或软件漏洞实施的攻击1。对于通过HTTP请求触发的Web应用和API漏洞，未知缺陷仍可能通过具有可识别特征的请求被利用。F5 WAF for BIG-IP可结合请求中的多项策略违规信号评估风险，并按策略告警或阻断，为缓解这类利用提供支持2。如果利用请求与正常流量高度相似，WAF仍可能无法识别。
攻击载荷与通用攻击特征
新的漏洞可能沿用已有攻击方法，因此通用攻击规则仍有机会发挥作用。WAF可以检查URL、参数、标头、Cookie和请求正文，寻找SQL注入、路径遍历或命令注入等攻击特征。OWASP CRS采用通用攻击检测规则，覆盖SQL注入、跨站脚本、本地文件包含等常见攻击类别3。
例如，一个尚未公开的文件读取漏洞，如果需要通过包含路径遍历特征的参数触发，已有规则就可能识别并拦截该请求。这一判断依据是请求采用了可识别的攻击方法，并不代表WAF已经知道漏洞位于哪个组件。
但攻击者可能通过编码、混淆或变形隐藏载荷，因此通用规则能否发挥作用，还取决于请求解析和规范化处理是否充分。F5 WAF for BIG-IP支持对URI和参数进行多次解码、规范化路径分隔符，并检测非法编码和路径遍历特征，帮助识别被部分变形方式掩盖的攻击内容2。这些机制有助于减少规避检测的机会，但不能保证还原所有混淆载荷。
协议违规与请求结构异常
协议和请求结构检查，可以发现部分用于触发解析缺陷或规避检测的异常输入。F5 WAF for BIG-IP可以检查HTTP协议违规、畸形载荷和规避技术，并根据安全策略执行告警或阻断4。如果某个未公开漏洞需要借助这些异常输入触发，相关检查就可能在缺少专用漏洞规则时拦截利用请求，减少异常内容到达后端应用的机会。
常见检查对象包括：
|----------|-----------------|-------------|
| 检查对象 | 可关注的信号 | 判断依据 |
| HTTP标头 | 格式错误、长度信息冲突 | 协议要求及解析规则 |
| URL与请求正文 | 无法正确解码的内容、畸形结构 | 编码规范及内容解析结果 |
| 请求长度 | URL、标头或正文超过设定上限 | 应用允许的请求规模 |
这些信号只能说明请求存在违规或可疑之处，不能直接证明发生了零日攻击。大文件上传可能产生较长正文，合法应用也可能使用复杂编码。因此，长度和格式限制应结合具体接口设置，并验证WAF与后端应用对请求的解析是否一致。
应用预期与输入约束偏差
符合HTTP协议的请求，仍可能违反具体应用的输入要求。企业可以明确每个接口允许接收的参数、数据类型、长度和取值范围，再通过WAF检查输入是否超出这些约束。OWASP将数据类型、长度、范围和允许值校验列为输入验证的重要方法5。
例如，订单查询接口只接受规定长度的数字编号，收到超长文本时，即使文本没有命中攻击签名，也可以按参数策略拒绝。这样能够减少异常输入到达应用的机会，但不能阻止所有符合参数要求的漏洞利用。
建立这些约束需要了解应用的实际请求。F5 WAF for BIG-IP提供学习引擎、自定义策略构建，以及面向微服务和API的细粒度安全策略能力，帮助安全团队根据不同应用和接口调整防护要求6。
应用发布新功能时，也应同步复核输入约束。新增参数或上传容量变化可能使原有规则不再适用；调整策略时，应先核实业务需求，避免因一次异常请求就放宽整个接口的检查要求。
安全策略执行与防护边界
识别信号只有转化为有效执行的策略，才能形成实际防护。企业使用F5 WAF for BIG-IP时，可以结合学习建议和触发告警的请求，核对相关输入是否属于正常业务，再调整参数约束、规则例外和阻断设置。F5支持查看学习建议、审查触发请求及判断策略实体是否适合进入强制执行阶段7。
实际部署还应确认受保护流量经过WAF，HTTPS请求能够在检查点解密，并持续检查规则是否生效及是否误拦正常业务。若利用请求没有明显载荷、符合协议和输入约束，WAF仍可能漏报。
对安全负责人而言，F5 WAF for BIG-IP的价值在于将请求检查、违规信号评估和应用输入约束落实为入口防护，降低部分未公开漏洞被利用的风险。企业应持续核对检查覆盖范围、策略执行状态和业务影响，并在漏洞触发条件明确后补充针对性规则，最终通过修改代码、升级组件或安装补丁完成修复。
常见问题解答（FAQ）
WAF必须获得CVE编号后才能阻断攻击吗？
不一定。部分请求可以依据通用攻击特征、协议违规或参数约束被拦截。CVE编号用于标识漏洞，本身不是WAF执行阻断的必要条件。
F5 WAF for BIG-IP能否保证阻止所有零日漏洞利用？
不能保证。F5 WAF for BIG-IP的学习引擎和自定义策略有助于建立应用防护规则，但实际效果仍取决于攻击特征、部署范围和策略配置6。企业仍需持续监控，并在修复方案可用后完成漏洞修复。
漏洞公开后，通用WAF策略是否需要调整？
应根据漏洞触发条件复核现有策略。如果已有规则覆盖不足，可以增加针对性的虚拟补丁，并验证拦截效果和正常业务兼容性。虚拟补丁提供临时防护，不能消除应用中实际存在的漏洞。
参考资料
1 NIST，Zero-Day Attack。
2 F5官网，Working with Violations，BIG-IP ASM 17.5.0/17.5.1。
3 OWASP，OWASP CRS。
4 F5官网，Configuring ASM with Local Traffic Policies，BIG-IP ASM 21.1.0。
5 OWASP，Input Validation Cheat Sheet。
6 F5官网，F5 WAF for BIG-IP。
7 F5官网，Refining Security Policies with Learning，BIG-IP ASM 21.1.0。
免责声明
本文用于说明WAF缓解Web应用和API零日漏洞利用的一般机制，不构成针对特定系统的防护效果承诺。实际部署应结合应用架构、产品版本和安全策略进行验证，并配合漏洞管理与正式修复。