【WAF 安全实践】

一、WAF 对 HTTP 请求的检查

WAF 会全面扫描请求的各个部分，检测是否符合安全规则：

1. 请求行（Request Line）

• HTTP 方法：检测非常规方法（如 PUT、DELETE）是否被滥用。
• URI 路径：检查路径中是否包含可疑字符（如 ../、%00）或路径遍历（如 /etc/passwd）。
• 协议版本：识别异常协议（如强制降级为 HTTP/1.0 的中间人攻击）。

2. 请求头（Headers）

• 常见攻击特征：
  • User-Agent：检测扫描器指纹（如 sqlmap、nmap）。
  • Cookie：检查会话劫持、SQL 注入（如 Cookie: admin' OR 1=1--）。
  • X-Forwarded-For：伪造 IP 或注入攻击载荷。
• 协议头滥用：
  • Content-Length 或 Transfer-Encoding：用于 HTTP 请求走私（Request Smuggling）。
  • Host 头：域名欺骗或 DNS 重绑定攻击。

3. 请求参数（Parameters）

• GET 参数（Query String）：
  检测 SQL 注入（如 ?id=1' UNION SELECT ...）、XSS（如 ?search=<script>alert(1)</script>）。
• POST 参数（Body）：
  检查表单字段、JSON/XML 数据中的恶意内容（如命令注入、文件上传漏洞）。

4. 请求正文（Body）

• 文件上传内容：
  检测恶意文件类型（如 .php、.jsp）或文件内容（如 Web Shell 代码）。
• 编码载荷：
  解码 Base64、URL 编码、Hex 编码等混淆的攻击载荷。
• 内容格式：
  验证 JSON/XML 结构是否符合预期，防止格式解析漏洞。

5. 其他请求特征

• 频率与速率：
  识别暴力破解（如高频登录尝试）、DDoS 攻击流量。
• 协议合规性：
  检查是否符合 HTTP 规范（如畸形的分块传输）。

二、WAF 对 HTTP 响应的检查

部分高级 WAF 会监控响应内容，防止敏感信息泄露或辅助攻击：

1. 敏感数据泄露

• 数据库错误信息：
  检测响应中是否包含 MySQL Error、ODBC Exception 等详细信息。
• 隐私数据暴露：
  扫描信用卡号（\d{4}-\d{4}-\d{4}-\d{4}）、身份证号、API 密钥等。
• 目录列表：
  阻止返回服务器目录结构（如 Apache 的 Index of /）。

2. 攻击辅助检测

• 错误响应中的线索：
  分析错误页面是否泄露服务器版本（如 Apache/2.4.49）或框架信息。
• 重定向漏洞：
  检查 Location 头是否包含未验证的外部 URL（如钓鱼跳转）。

3. 安全头验证

• 缺失安全标头：
  警告或自动添加缺失的标头（如 Content-Security-Policy、X-Content-Type-Options）。
• 错误配置标头：
  检测不安全的 CORS 配置（如 Access-Control-Allow-Origin: *）。

三、WAF 的检测技术

1. 规则匹配（签名检测）

• 基于正则表达式或预定义规则库（如 OWASP CRS）匹配已知攻击模式。

2. 行为分析（机器学习/异常检测）

• 学习正常流量模式，识别偏离基线的异常行为（如突发大量 404 错误）。

3. 语义解析

• 解析 JSON/XML 结构、SQL 语句等，识别逻辑层面的攻击（如 SQL 注入的语法树分析）。

四、典型绕过 WAF 的技术

攻击者可能尝试以下方式绕过 WAF 检测：

1. 载荷混淆：
   • 使用 Unicode 编码、大小写混淆（如 <ScRiPt>）。
   • 插入无关字符（如 SEL/*xxx*/ECT）。
2. 分块传输（Chunked Encoding）：
   分割恶意代码为多个块，绕过正则匹配。
3. 多维度组合攻击：
   分散攻击特征到 Headers、Body、Cookies 等多个位置。
4. 协议级绕过：
   利用 HTTP 解析差异（如 Transfer-Encoding: chunked 与 Content-Length 冲突）。

五、防御建议

1. 输入验证与过滤：
   • 对用户输入进行严格白名单校验。
   • 使用参数化查询防止 SQL 注入。
2. 输出编码与过滤：
   • 对响应内容进行 HTML/URL 编码，防止 XSS。
   • 屏蔽敏感错误信息。
3. 配置 WAF 规则：
   • 定期更新规则库（如 OWASP CRS）。
   • 针对业务场景定制规则，减少误报。
4. 监控与日志分析：
   • 记录 WAF 拦截事件，分析攻击趋势。

总结

• 请求检查：WAF 深度扫描请求行、头、参数、正文，覆盖协议合规性和攻击特征。
• 响应检查：高级 WAF 会监控敏感数据泄露、错误信息和安全头配置。
• 绕过风险：需结合多层防御（输入校验、输出过滤、WAF）形成纵深防护。