AWS WAF 实战：识别并拦截 ffuf 等扫描工具的完整流程

背景

生产环境 ALB 突然出现大量 5XX 错误告警，通过 ALB Access Log 发现来自单一 IP 的高频请求，User-Agent 为 Fuzz Faster U Fool v2.1.0-dev（即 ffuf，一款常见的 Web 路径模糊测试工具）。

WAF 已关联 ALB 且日志显示 actions_executed: waf, forward，说明 WAF 处理了请求但选择了放行。本文记录从发现问题到分析原因、验证安全性、部署规则的完整过程。

一、问题分析

1.1 ALB 日志特征

request_creation_time: Mar 13, 2026 @ 14:10:00
actions_executed: waf, forward
client_ip: x.x.x.x
user_agent: Fuzz Faster U Fool v2.1.0-dev
method: GET
request_url: https://example.api.domain.com:443//lynn.htm
elb_status_code: 500
target_status_code: 500

关键发现：

• actions_executed: waf, forward