免责声明 本教程仅为合法的教学目的而准备，严禁用于任何形式的违法犯罪活动及其他商业行为，在使用本教程前，您应确保该行为符合当地的法律法规，继续阅读即表示您需自行承担所有操作的后果，如有异议，请立即停止本文章读。
目录
标签：网络安全,Web,请求,WAF,硬件,检测,软件,搞懂 From： https://blog.csdn.net/m0_62828084/article/details/144787552一、WAF的定义
WAF全称为Web Application Firewall，即Web应用防火墙2。它是一种HTTP入侵检测和防御系统，是网络安全纵深防御体系里重要的一环，对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，为Web应用提供防护，也称作应用防火墙。
二、WAF的功能
- 访问控制：
- IP黑名单和白名单：拒绝黑名单上地址的访问，或者只允许白名单上的用户访问2。
- URI黑名单和白名单：与IP黑白名单类似，允许或禁止对某些URI（统一资源标识符）的访问。
- 防护攻击：
- 防护DDoS攻击：对特定的IP地址限连限速。
- 过滤攻击：
- 过滤请求报文：防御“代码注入”等攻击，例如SQL注入、跨站脚本攻击（XSS）、文件包含漏洞等。
- 过滤响应报文：防御敏感信息外泄。
- 审计记录：审计日志，记录所有检测到的入侵操作。
三、WAF的分类
Web应用防火墙（WAF）可以根据不同的标准进行分类。以下是几种常见的分类方式：
1. 部署方式
根据部署方式，WAF可以分为以下几类：
类型 描述 硬件WAF 以物理设备的形式部署在网络中，对流量进行实时检查和过滤。 软件WAF 以软件应用的形式安装在服务器上，对HTTP请求进行检查和拦截。 云WAF 作为云服务提供商的一部分，通过云服务平台提供WAF功能，对流量进行实时检查和过滤。 内置WAF 网站系统内置的WAF，直接镶嵌在代码中，自由度较高。 2. 工作模式
根据工作模式，WAF可以分为以下几类：
类型 描述 串联模式 WAF直接串联在链路中，可以拦截恶意流量。 旁路监听模式 WAF在旁路监听模式时只记录攻击，不进行拦截。 反向代理模式 一般以反向代理形式工作，通过配置NS记录或CNAME记录，使对网站的请求报文优先经过WAF主机。 3. 功能特性
根据功能特性，WAF可以分为以下几类：
类型 描述 审计设备 用来截获所有HTTP数据或者仅仅满足某些规则的会话。 访问控制设备 用来控制对Web应用的访问，既包括主动安全模式也包括被动安全模式。 架构设计设备 用于设计和优化Web应用的安全架构。 应用加固设备 用于增强Web应用的安全性，防止各种攻击。 4. 开源与商业
根据是否开源，WAF可以分为以下几类：
类型 描述 开源WAF 如Naxsi、OpenRASP、ModSecurity等，可以免费使用和修改。 商业WAF 如华为WAF、Cloudflare WAF、AWS WAF等，需要购买许可证才能使用。 四、硬件WAF与软件WAF的性能对比
在网络安全领域中，硬件WAF（Web Application Firewall）和软件WAF是两种常见的安全防护方式。它们各自具有独特的性能特点，适用于不同的应用场景。以下是对硬件WAF和软件WAF性能的详细对比：
1. 部署方式与灵活性
硬件WAF 软件WAF 部署方式 需要在本地网络环境中部署设备，与网络连接进行数据通信 安装在需要防护的服务器上，通过监听端口或Web容器扩展方式进行请求检测和阻断 灵活性 部署过程相对复杂，调整策略或规模耗时耗力 部署简单，调整灵活，可迅速适应企业变化的安全需求 硬件WAF的部署需要将设备部署在本地，通常涉及与交换机等设备的连接和配置，因此部署过程相对复杂。而软件WAF则安装在服务器上，部署简单且调整灵活，更易于适应企业快速变化的安全需求。
2. 成本与资源利用
硬件WAF 软件WAF 成本 设备购买、维护、升级等费用高昂 相对较低，甚至有免费版 资源利用 硬件设备资源固定，扩展性受限 可根据服务器资源灵活调整 硬件WAF的成本较高，包括设备购买、维护和升级等费用，对于中小企业来说可能是一笔较大的开支。而软件WAF的成本相对较低，甚至有一些免费版可供选择，降低了企业的成本压力。此外，软件WAF可以根据服务器资源灵活调整，提高了资源利用率。
3. 性能与吞吐量
硬件WAF 软件WAF 性能 基于硬件设备实现，稳定性高，吞吐量大 受服务器性能影响，可能存在性能瓶颈 吞吐量 可承受较高的数据吞吐量 适用于中小型网站，大型网站可能存在性能问题 硬件WAF基于硬件设备实现，具有较高的稳定性和吞吐量，适合处理大量数据流量。而软件WAF的性能则受服务器性能的影响，可能存在性能瓶颈，更适合中小型网站或应用。对于大型网站或应用来说，软件WAF可能会存在性能问题，需要额外的优化或升级。
4. 安全管理与响应速度
硬件WAF 软件WAF 安全管理 依赖于用户自身管理水平 依赖于软件自身的安全机制和更新 响应速度 可能较慢，需要用户自行处理安全事件 较快，软件通常会自动更新和响应新威胁 硬件WAF的安全管理依赖于用户自身的技术水平和管理能力。而软件WAF则通常具有自动更新和响应新威胁的能力，能够更快地应对新兴的安全威胁。然而，这也取决于软件WAF的安全机制和更新频率是否可靠。
五、WAF如何检测恶意请求
Web应用防火墙（WAF）通过多种方法来检测和阻止恶意请求，确保Web应用程序的安全性。以下是WAF检测恶意请求的一些主要方法：
1. 黑名单和白名单
WAF可以使用预定义的黑名单和白名单来控制对Web应用程序的访问。黑名单中列出的IP地址或区域将被阻止，而白名单中的IP地址将被允许访问。
2. 地理围栏和地理封锁
WAF可以利用地理信息数据库（如MaxMindDB）来创建地理围栏或地理封锁规则。这些规则可以允许或限制来自特定地理区域的访问。
3. 请求检验
WAF会对HTTP请求的各个部分进行深入分析，包括请求头、请求正文、查询参数等。通过匹配已知的好/坏字符串和值，WAF可以区分合法请求和恶意请求。例如，WAF可以检测到格式错误的用户代理或可疑的cookie值。
4. 响应检查
WAF不仅会检查请求，还会监视和分析离开Web应用程序的流量。它验证数据包的内容，以确保内容类型与请求资源的预期内容类型相匹配。例如，如果客户端请求图像文件，WAF可以验证响应是图像文件，而不是可执行文件或恶意内容。
5. 安全规则
WAF会分析请求的有效负载，并将其与预定义的安全规则或签名进行比较。这些规则可以是供应商预先配置的，也可以是自定义的，旨在防止常见攻击，例如SQL注入、跨站点脚本（XSS）和其他已知漏洞。
6. 行为分析
高级的WAF系统可以通过分析应用程序的正常行为模式来检测异常活动。通过建立应用程序的行为基线，WAF可以识别出不符合正常模式的请求和行为，从而捕获未知的攻击。
7. 深度包检测（DPI）
WAF使用深度包检测技术来分析HTTP请求和响应，识别潜在的恶意行为。这包括对请求和响应内容的详细检查，以检测SQL注入、XSS、CSRF等攻击。
8. 威胁情报
WAF可以利用威胁情报数据库（如HoneyPotProject和SpamhausDB）来识别和阻止来自已知恶意IP地址的请求。
通过这些方法，WAF能够有效地检测和阻止各种类型的恶意请求，保护Web应用程序免受攻击。