Web應(yīng)用防火墻（WAF）主要用于防護(hù)針對(duì)Web應(yīng)用程序的各類(lèi)攻擊，其核心能力集中在應(yīng)用層（OSI第7層）。以下是WAF能夠防護(hù)的主要攻擊類(lèi)型及防護(hù)原理：

1. 注入攻擊（Injection Attacks）

• SQL注入（SQLi）
  WAF檢測(cè)請(qǐng)求中的惡意SQL語(yǔ)法（如' OR 1=1 --），阻止非法數(shù)據(jù)庫(kù)查詢。
• 命令注入（OS Command Injection）
  攔截包含系統(tǒng)命令（如; rm -rf /）的輸入，防止執(zhí)行惡意操作系統(tǒng)指令。
• 其他注入（LDAP、XPath等）
  過(guò)濾特殊字符和異常查詢結(jié)構(gòu)。

2. 跨站腳本攻擊（XSS）

• 反射型/存儲(chǔ)型/DOM型XSS
  檢測(cè)請(qǐng)求和響應(yīng)中的<script>標(biāo)簽、javascript:協(xié)議或惡意事件處理器（如onerror=），阻止腳本在用戶瀏覽器執(zhí)行。

3. 跨站請(qǐng)求偽造（CSRF）

• 通過(guò)驗(yàn)證請(qǐng)求來(lái)源（如Referer頭）或檢查CSRF令牌（需結(jié)合應(yīng)用邏輯）來(lái)攔截偽造的會(huì)話請(qǐng)求。

4. 文件與路徑遍歷攻擊

• 本地文件包含（LFI）/遠(yuǎn)程文件包含（RFI）
  阻止包含../、/etc/passwd等敏感路徑的請(qǐng)求。
• 目錄遍歷（Directory Traversal）
  過(guò)濾異常路徑跳轉(zhuǎn)字符，限制訪問(wèn)Web根目錄外的文件。

5. 不安全直接對(duì)象引用（IDOR）

• 檢測(cè)異常參數(shù)（如user_id=1234被篡改為user_id=5678），防止未授權(quán)訪問(wèn)資源。

6. 安全配置漏洞

• 不安全的HTTP方法
  攔截危險(xiǎn)方法（如PUT、DELETE）或強(qiáng)制使用安全頭部（如Content-Security-Policy）。
• CORS配置錯(cuò)誤
  驗(yàn)證跨域請(qǐng)求的合法性，阻止惡意域名訪問(wèn)。

7. 敏感數(shù)據(jù)泄露

• 數(shù)據(jù)泄露防護(hù)
  屏蔽響應(yīng)中的敏感信息（如信用卡號(hào)、身份證號(hào)），或?qū)﹀e(cuò)誤頁(yè)面進(jìn)行內(nèi)容過(guò)濾。

8. API濫用

• 參數(shù)篡改/未授權(quán)訪問(wèn)
  驗(yàn)證API請(qǐng)求格式、參數(shù)合法性及身份認(rèn)證（如JWT令牌校驗(yàn)）。
• 批量請(qǐng)求攻擊
  限制API調(diào)用頻率，防止數(shù)據(jù)爬取或資源耗盡。

9. 應(yīng)用層DDoS攻擊

• HTTP洪流（CC攻擊）
  基于速率限制、IP信譽(yù)庫(kù)或行為分析識(shí)別異常流量（如短時(shí)間內(nèi)大量GET /login請(qǐng)求）。

10. 其他高級(jí)攻擊

• Webshell上傳
  檢測(cè)文件上傳中的惡意代碼（如<?php system($_GET['cmd']); ?>）。
• 零日漏洞利用
  通過(guò)機(jī)器學(xué)習(xí)或行為分析識(shí)別異常請(qǐng)求模式（如異常參數(shù)長(zhǎng)度或編碼方式）。
• 暴力破解
  限制登錄/注冊(cè)頁(yè)面的嘗試頻率（如同一IP每秒不超過(guò)5次請(qǐng)求）。

WAF的局限性

• 無(wú)法防護(hù)所有攻擊：如業(yè)務(wù)邏輯漏洞、社會(huì)工程攻擊等需結(jié)合其他措施（如代碼審計(jì)、安全意識(shí)培訓(xùn)）。
• 規(guī)則依賴：需定期更新規(guī)則庫(kù)以應(yīng)對(duì)新型攻擊。
• 性能影響：配置不當(dāng)可能導(dǎo)致誤攔截或延遲。

最佳實(shí)踐

• 多層防御：結(jié)合防火墻、IDS/IPS、加密傳輸（HTTPS）等。
• 自定義規(guī)則：根據(jù)業(yè)務(wù)需求調(diào)整WAF策略（如放行特定API路徑）。
• 日志監(jiān)控：分析攔截日志，優(yōu)化規(guī)則并發(fā)現(xiàn)潛在威脅。

通過(guò)合理配置，WAF能有效降低Web應(yīng)用風(fēng)險(xiǎn)，但需作為整體安全體系的一部分運(yùn)行。