首页/资讯中心/详情

华为云WAF实战：精准防御SQL注入与XSS攻击

华为云WAF实战：精准防御SQL注入与XSS攻击
📅 发布时间：2026/7/3 16:39:55

1. 项目概述：为什么需要华为云WAF来防御SQL注入与XSS？

做Web开发或者运维的朋友，应该都经历过半夜被安全告警叫醒的“惊喜”。服务器被黑、数据库被拖、用户数据泄露，这些场景光是想想就让人头皮发麻。在众多Web攻击手段里，SQL注入和XSS（跨站脚本攻击）绝对是“常青树”，手法老套但杀伤力巨大，而且花样翻新，防不胜防。

我最早接触Web安全防御，是从在应用代码里一个个写过滤函数开始的。addslashes、htmlspecialchars，这些函数名到现在都还记得。但很快我就发现，纯靠开发人员手动防御，漏洞百出。代码总有疏忽的时候，第三方库可能引入风险，更别提那些历史遗留的、没人敢动的老系统了。后来开始用开源的ModSecurity，自己写规则、调阈值，效果是有，但运维成本高得吓人，一个误报可能就把正常用户给拦了，还得时刻盯着日志分析攻击特征。

直到接触了云WAF（Web应用防火墙），才算是找到了一个相对平衡的解决方案。它就像在网站入口处加了一个专业的“安检门”和“安检员”，所有流量都要先过它这一关。恶意请求在到达你服务器之前就被识别并拦截了，你的应用代码可以更专注于业务逻辑。华为云WAF就是这类方案中的一个成熟产品，它把复杂的攻击检测、规则更新、性能优化这些脏活累活都包了，你只需要在控制台点点鼠标，做做配置。

这次实战，我们就聚焦在如何用华为云WAF，精准地防御最头疼的SQL注入和XSS攻击。所谓“精准”，有两层意思：一是要能拦住真正的攻击，不漏报；二是要尽量减少对正常业务的干扰，不误报。我们会从原理拆解到配置实操，再到调优避坑，把整个过程捋清楚。无论你是正在为自家网站寻找安全方案的运维，还是想了解云WAF实际效果的开发者，这篇文章都能给你提供一份可直接落地的参考。

2. 核心威胁剖析：SQL注入与XSS的攻击原理与演变

在部署任何防御措施之前，你必须先了解你的对手。一知半解地配置WAF规则，很容易要么形同虚设，要么“杀敌一千，自损八百”。我们得把SQL注入和XSS这两类攻击的底细摸透。

2.1 SQL注入：从“万能密码”到高阶绕过

SQL注入的本质，是攻击者将恶意的SQL代码“注入”到应用程序原本要发送到数据库的查询语句中，从而欺骗数据库执行非预期的命令。

经典攻击示例：假设一个网站的登录验证SQL语句是这样拼接的：

String sql = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'";

如果用户在用户名框输入admin'--（注意最后的单引号和两个减号，在SQL中--是注释符），那么拼接后的SQL就变成了：

SELECT * FROM users WHERE username = 'admin'--' AND password = 'xxx'

--之后的所有内容都被注释掉了，这意味着攻击者无需知道密码，就能以admin身份登录。这就是最经典的“万能密码”攻击。

攻击手法的演变：

  1. 联合查询注入（Union-Based）：利用UNION操作符，将恶意查询结果附加到原始查询之后，从而窃取其他表的数据。
  2. 报错注入（Error-Based）：故意构造让数据库报错的语句，从错误信息中提取敏感数据（如数据库版本、表结构）。
  3. 布尔盲注（Boolean Blind）：当页面没有明确回显时，通过构造真/假条件，根据页面返回内容的差异（如是否正常显示、响应时间微秒级差别）来逐位推断数据。这是最难防御的一种，因为攻击行为看起来像是一系列正常的、但略微奇怪的请求。
  4. 时间盲注（Time-Based Blind）：与布尔盲注类似，但通过让数据库执行睡眠函数（如SLEEP(5)），根据响应时间是否延迟来判断条件真假。
  5. 堆叠查询（Stacked Queries）：利用某些数据库支持多语句执行的特性，在注入点后追加;，然后执行任意SQL语句，危害极大。

现代绕过技巧：攻击者为了绕过简单的关键词过滤（如过滤SELECT,UNION,空格），会使用各种变形：

  • 编码绕过：使用URL编码、十六进制编码、Unicode编码。例如，SELECT可能被写成%53%45%4c%45%43%54。
  • 等价函数/语法替换：不用AND用&&，不用=用LIKE，不用空格用/**/（注释符）或+。
  • 大小写混合：SeLeCt。
  • 双写绕过：如果过滤规则是删除一次关键词，那么SELSELECTECT在删除中间的SELECT后，剩下的字符又组成了SELECT。

注意：很多初级防御方案只盯着SELECT、UNION这些明显的关键词，但现代攻击早已进化。WAF的规则库必须能识别这些变形和混淆，这也是云WAF的价值所在——它有持续更新的全球威胁情报库。

2.2 XSS攻击：不止是弹个窗那么简单

XSS攻击的核心在于“跨站脚本”，攻击者将恶意脚本注入到可信的网页中，当其他用户浏览该网页时，脚本就会在其浏览器中执行。

三大类型：

  1. 反射型XSS（Reflected XSS）：恶意脚本作为请求的一部分（通常藏在URL参数里）发送给服务器，服务器未经验证就直接“反射”回响应页面中并执行。常见于搜索框、错误信息提示页。攻击通常需要诱骗用户点击一个精心构造的链接。
  2. 存储型XSS（Stored XSS）：最危险的一种。恶意脚本被永久地存储到服务器端（如数据库、评论、论坛帖子），当任何用户访问包含该内容的页面时，脚本都会自动执行。危害范围广，持续时间长。
  3. DOM型XSS（DOM-based XSS）：漏洞存在于客户端JavaScript代码中，攻击载荷不经过服务器，直接在浏览器端通过修改DOM环境来执行。例如，前端JS从location.hash中获取数据并动态写入页面，攻击者就可以构造一个特殊的#后的内容来注入脚本。

恶意脚本能做什么？很多人以为XSS就是弹个警告框恶作剧，那就大错特错了。在攻击者控制下，恶意脚本可以：

  • 盗取Cookie：通过document.cookie获取用户会话凭证，直接劫持账户。
  • 发起伪造请求（CSRF）：在用户不知情下，以用户的身份执行任意操作，如转账、改密、发帖。
  • 键盘记录：监听用户的每一次按键，窃取账号密码。
  • 钓鱼：在页面上伪造一个登录框，诱骗用户输入凭证。
  • 挖矿：在用户浏览器中运行加密货币挖矿脚本，消耗用户计算资源。

XSS的载荷变形：为了绕过基于黑名单的过滤（如过滤<script>），攻击者会使用极其复杂的混淆技术：

  • 事件处理器：不使用<script>标签，而是利用HTML标签的事件属性，如<img src=x onerror=alert(1)>。
  • JavaScript伪协议：<a href="javascript:alert(1)">点击</a>。
  • 编码与拆分：将脚本拆分成多个部分，利用String.fromCharCode()、eval()、setTimeout()等方式组合执行。
  • SVG/Flash等富媒体载体：利用这些对象支持的脚本执行能力。

理解这些原理，你就能明白为什么一个高效的WAF不能只做简单的字符串匹配。它需要理解HTTP请求的上下文（参数在哪、值是什么）、HTML/JS的语法结构，甚至要模拟JavaScript引擎的部分行为来进行深度检测。

3. 华为云WAF防御体系深度解析

华为云WAF不是一个简单的“过滤器”，而是一套立体的防御体系。它针对SQL注入和XSS的防御，是建立在多层检测引擎和智能算法之上的。我们来看看它的“武器库”里都有什么。

3.1 核心防护模块：Web基础防护

这是WAF的“默认盾牌”，也是防御SQL注入和XSS的主力。它内置了庞大的规则库，这些规则不是静态的，而是由华为云安全团队持续运营和更新的。

防护原理：

  1. 语义分析：WAF会解析HTTP请求，理解其结构。它会识别出哪里是URL路径，哪里是查询参数（GET），哪里是请求体（POST），哪里是Cookie。攻击载荷藏在哪里，它就重点检测哪里。
  2. 规则匹配：将解析后的请求内容，与规则库中的攻击特征进行匹配。这个规则库包含了成千上万条针对各种SQL注入变形、XSS载荷变种的指纹。
  3. 逻辑判断：不仅仅是关键词匹配。例如，对于SQL注入，它会分析参数值中是否包含了非常规的SQL操作符（UNION,SELECT,FROM）、注释符（--,#,/**/）以及它们的组合逻辑，判断是否构成一个完整的、有威胁的SQL语句片段。
  4. 上下文感知：对于XSS，它会判断一个<script>标签是出现在正常的HTML文本中，还是出现在一个参数值里（后者很可疑）。它会检测事件处理器（onerror,onclick）、JavaScript伪协议（javascript:）、以及各种编码混淆。

规则等级与动作：在华为云WAF控制台，Web基础防护通常提供几个等级：

  • 宽松：仅检测并记录最严重的攻击，误报率低，但可能漏过一些高级攻击。
  • 中等：平衡模式，检测范围更广，是大多数场景的推荐设置。
  • 严格：启用最全面的检测规则，拦截能力最强，但可能对某些特殊业务（如富文本编辑器、代码托管平台）产生误报。

对于匹配到的请求，可以设置三种动作：

  • 拦截：直接阻断请求，并向客户端返回一个可自定义的拦截页面（如403 Forbidden）。
  • 仅记录：放行请求，但会在攻击日志中详细记录。这个模式非常有用，用于在策略上线初期观察效果，确认无误报后再开启拦截。
  • 告警：放行请求，但记录日志并可能触发告警通知。

3.2 精准防护与自定义规则：打造专属防线

Web基础防护是“通用疫苗”，而精准防护和自定义规则就是“靶向药”。当你的业务有特殊结构，或者攻击者针对你的业务定制了绕过方法时，这部分功能就至关重要。

精准防护策略：你可以针对特定的URL路径、特定的参数（甚至参数值）设置更细致化的规则。例如：

  • 你的网站有一个公开的搜索接口/api/search?q=*，这里允许用户输入各种字符，误报可能较高。你可以针对这个特定的URL，将SQL注入和XSS的防护等级调为“宽松”或“仅记录”，避免影响正常搜索功能。
  • 你的管理后台路径/admin/*是高风险区域，你可以针对这个路径开启“严格”模式，并设置更低的防护阈值。

自定义规则：这是高级玩家的利器。当内置规则无法满足需求，或者你想针对一种新型的、特有的攻击模式进行防御时，就可以自己写规则。

  • 场景1：防御特定攻击模式。假设你发现攻击者总是向/upload接口的filename参数注入一种特殊的XSS载荷，其特点是包含data:text/html和base64编码。你可以创建一条自定义规则，匹配该路径、该参数，且内容符合该正则表达式，然后执行拦截。
  • 场景2：放行误报。如果你的某个参数值里经常包含像1 OR 1=1这样的字符串（可能是一个产品序列号格式），而它总是被误判为SQL注入。你可以创建一条“放行”规则，精确匹配这个URL和参数，当值完全等于这个字符串时，跳过后续的Web基础防护检测。

自定义规则的语法通常支持正则表达式，功能非常强大。但切记：正则表达式写得不严谨，可能导致规则失效或产生严重误报。在正式启用前，务必在“仅记录”模式下测试一段时间。

3.3 智能语义引擎与AI防护

这是华为云WAF区别于一些传统规则库WAF的亮点。单纯的规则匹配是“守株待兔”，而智能引擎试图理解“什么是正常的请求”。

  • 正常行为建模：WAF会学习你的网站在正常状态下的访问模式，比如每个参数的常见长度、字符类型、取值范围等。例如，一个用户ID参数通常都是数字，如果某天突然出现了包含SQL关键词的字符串，即使这个字符串绕过了规则库，智能引擎也会因其偏离了“正常模型”而给出高风险评分。
  • 攻击意图识别：对于SQL注入，智能引擎会分析整个参数值的“意图”。它不仅仅看有没有SELECT，还会分析整个字符串是否在试图构造一个逻辑上完整的、有威胁的数据库查询。对于XSS，它会分析脚本是否试图访问敏感对象（如document.cookie）或执行危险操作（如eval）。
  • 协同防护：当规则引擎和智能引擎都给出威胁判断时，置信度最高，拦截最果断。如果只有一方有微弱信号，WAF可能会选择“仅记录”或结合其他因素（如访问频率、IP信誉）综合判断。

这个模块通常不需要你手动配置，它是后台自动运行的。你的任务是在控制台查看它的分析结果和告警，并据此调整你的防护策略。

4. 实战配置：一步步构建SQL注入与XSS防御网

理论说再多，不如动手配一遍。我们假设你已经有一个接入华为云WAF（云模式）的域名www.yourdomain.com。接下来，我们进入控制台进行实战配置。

4.1 前期准备与域名接入

  1. 购买与开通：在华为云控制台找到“Web应用防火墙”，根据业务规模选择“云模式”的合适版本（入门版、标准版、专业版、企业版）。对于一般企业网站，标准版通常足够。完成购买。
  2. 添加防护域名：在WAF控制台，进入“网站设置”->“防护网站”，点击“添加防护网站”。
    • 域名：填写www.yourdomain.com。
    • 协议类型：根据你的网站实际情况选择HTTP、HTTPS或两者。
    • 服务器配置：填写你源站服务器的真实IP地址和端口。这是WAF将清洗后的正常流量回源的目的地。
    • 代理是否已配置：如果你的服务器前面还有CDN、高防等其他代理，务必选择“是”，这样WAF才能获取到真实的客户端IP，否则日志里全是代理服务器的IP。
  3. DNS解析修改：这是最关键的一步。添加域名后，WAF会为你分配一个CNAME地址，形如xxxxxx.waf.cloud.com。你需要到你域名的DNS服务商处，将www.yourdomain.com的解析记录类型从A记录（指向源站IP）修改为CNAME记录，并将值指向WAF提供的这个CNAME。修改后需要等待DNS全球生效，通常几分钟到几小时不等。

实操心得：在DNS切换前，强烈建议先在WAF控制台将防护模式设置为“仅记录”或“关闭”。等DNS生效后，观察一段时间流量和日志，确认所有正常流量都已通过WAF且没有误报后，再开启“拦截”模式。这可以避免DNS切换过程中因配置不当导致网站不可用。

4.2 配置Web基础防护策略

域名接入并解析生效后，我们就可以配置核心防护了。

  1. 进入防护策略：在控制台左侧菜单找到“防护策略”，通常系统会为你的域名创建一个默认策略。点击策略名称进入配置。
  2. 开启Web基础防护：找到“Web基础防护”模块，将开关拨到“开启”状态。
  3. 配置防护模式：
    • 防护等级：初次建议选择“中等”。这是一个平衡点。
    • 防护模式：强烈建议先选择“仅记录”。让WAF运行1-2天，收集日志。在这期间，你可以正常使用你的网站，也可以尝试一些简单的测试（注意，不要对生产环境进行真实攻击测试，可以搭建一个测试环境）。
  4. 查看攻击日志：在“安全报表”或“攻击事件”页面，你可以看到所有被WAF记录下来的疑似攻击。仔细查看这些日志，特别是“攻击类型”为“SQL注入”和“跨站脚本攻击”的条目。
    • 分析误报：点击某条日志，查看详细信息。看看是哪个URL、哪个参数、什么载荷触发了规则。判断它是否是正常业务请求。例如，一个内容管理系统的文章发布接口，文章内容里可能包含<script>标签的代码示例，这就会被误判为XSS。
    • 分析漏报（测试环境）：在测试环境，你可以使用工具（如SQLMap、XSSer）或手工构造一些攻击载荷，观察WAF是否能够正确识别和记录。

4.3 配置精准防护与误报处理

根据“仅记录”模式下的日志分析结果，我们开始进行精准调优。

场景A：处理误报（False Positive）假设日志显示，对/api/content/publish的POST请求，其body参数里的代码片段经常被误判为XSS。

  1. 创建精准防护规则：在防护策略中找到“精准防护”或“黑白名单”相关模块。
  2. 添加规则：
    • 路径：等于/api/content/publish
    • HTTP方法：POST
    • 防护模块：选择“Web基础防护”
    • 防护规则：选择“跨站脚本攻击”相关的规则ID（可以从攻击日志中获取）
    • 动作：选择“放行”
    • 条件：进一步细化，可以指定参数名称为body。但这里要小心，如果是整个body，可能不好指定。另一种更安全的方式是，如果误报的载荷有固定特征（比如包含特定的无害标签组合），可以配置一条全局白名单规则，规则内容匹配该特征，并选择“放行”且“不记录”。
  3. 启用并测试：保存规则，并继续在“仅记录”模式下观察，确认该误报不再出现。

场景B：加强特定路径防护假设你的网站后台登录地址是/admin/login.php，这里需要重点防护。

  1. 创建防护规则：同样在精准防护模块。
  2. 添加规则：
    • 路径：前缀匹配/admin/
    • 防护等级：选择“严格”
    • 动作：选择“拦截”
  3. 效果：所有对/admin/路径下页面的访问，都会应用更严格的SQL注入和XSS检测规则。

4.4 配置自定义规则应对高级威胁

假设你通过日志或威胁情报发现，一种新型的SQL注入攻击正在流行，它使用||（Oracle连接符）和CHR函数进行编码，形如：1'||CHR(58)||'test。而当前规则库可能尚未覆盖。

  1. 进入自定义规则：在防护策略中找到“自定义规则”模块。
  2. 创建规则：
    • 规则名称：“防御Oracle风格CHR编码注入”
    • 匹配条件：
      • 字段：URL或ARGS（所有参数）
      • 逻辑：包含
      • 内容：(?:||\s*CHR\s*\([^)]+\))（这是一个简化的正则，匹配||CHR(开头，括号内有内容的结构）
      • 注意：正则表达式需要反复测试，确保准确。华为云WAF控制台可能提供正则测试工具。
    • 防护动作：拦截
    • 执行顺序：可以设置一个较高的优先级，确保它在其他规则前生效。
  3. 测试与启用：先在“仅记录”模式下测试，用包含||CHR(58)||的请求访问你的测试接口，查看日志是否命中该自定义规则。确认无误后，再切换到“拦截”模式。

重要提示：自定义规则是一把双刃剑。过于宽泛的正则可能导致大量误报，影响业务；过于狭窄则可能被轻易绕过。强烈建议在测试环境充分验证，并在生产环境先以“仅记录”模式运行至少24小时，确认无误后再启用拦截。

5. 防御效果验证与攻击模拟测试

配置完成后，不能只是“配完了事”。我们必须验证防御是否真的生效。再次强调，所有攻击测试必须在独立的、授权的测试环境进行，严禁对生产环境进行测试！

5.1 搭建测试环境

最简单的方法是使用 Docker 快速搭建一个包含漏洞的测试应用，例如dvwa(Damn Vulnerable Web Application) 或pikachu。

# 以DVWA为例 docker pull vulnerables/web-dvwa docker run -d -p 8080:80 --name dvwa vulnerables/web-dvwa

访问http://你的测试机IP:8080，按照提示完成安装。这是一个故意留有各种漏洞（包括SQL注入、XSS）的网站，用于安全学习。

将你的测试域名（如test.yourdomain.com）接入华为云WAF，并重复上述配置步骤。

5.2 模拟SQL注入攻击测试

  1. 手工测试：
    • 在DVWA的SQL注入页面，输入1' or '1'='1。这是一个经典的永真条件注入。
    • 观察结果。如果WAF配置正确且处于拦截模式，你应该会看到WAF返回的拦截页面（默认是403），而不是DVWA返回的用户数据。
    • 在WAF控制台的攻击日志中，你应该能找到这条记录，攻击类型为“SQL注入”。
  2. 工具测试（谨慎使用）：
    • 可以使用sqlmap这样的自动化工具进行更全面的检测。命令示例：
      sqlmap -u "http://test.yourdomain.com/vulnerabilities/sqli/?id=1&Submit=Submit" --cookie="你的DVWA会话Cookie" --batch
    • sqlmap会尝试各种注入技术。观察其请求是否大量被WAF拦截，以及WAF日志中记录的攻击类型是否准确。
    • 注意：sqlmap功能强大，请务必控制扫描强度（如使用--level和--risk参数），避免对测试服务器造成过大压力。

5.3 模拟XSS攻击测试

  1. 反射型XSS测试：
    • 在DVWA的XSS反射型页面，输入<script>alert('XSS')</script>。
    • 提交后，如果WAF生效，你应该看到拦截页面，而不是浏览器弹出警告框。
  2. 存储型XSS测试：
    • 在DVWA的XSS存储型（留言板）页面，输入类似的恶意脚本。
    • 提交后，脚本不应被存储。即使存储了，当其他用户或你自己再次浏览留言板时，WAF在返回页面内容时也应能检测并净化或拦截该恶意脚本。
  3. DOM型XSS测试：
    • 这需要测试前端代码。可以尝试在URL的hash部分构造payload，如http://test.yourdomain.com/vuln_page.html#<img src=x onerror=alert(1)>。
    • 由于DOM型XSS不经过服务器，传统WAF可能较难防御。但华为云WAF如果开启了针对响应内容的检测（有些WAF具备此功能），或者你的前端框架有安全编码，可以缓解此问题。更彻底的解决需要在应用代码层面进行。

5.4 验证误报（确保业务正常）

这是比验证拦截更重要的一步。你需要模拟所有正常的用户操作流程：

  • 用户登录、注册、填写复杂表单（包含特殊字符）。
  • 搜索功能，输入各种关键词。
  • 内容发布功能，输入包含HTML代码片段或编程代码的内容。
  • 文件上传功能。 确保所有这些操作都能正常进行，不会触发WAF拦截。如果出现误报，回到第4.3节，使用精准防护规则进行放行。

6. 高级调优、监控与应急响应

配置和测试只是开始，让WAF长期稳定、高效地运行，需要持续的运维。

6.1 日志分析与策略迭代

WAF的防护策略不是一劳永逸的。你需要定期（如每周）查看攻击日志。

  • 关注高频攻击IP：如果某个IP在短时间内发起大量不同类型的攻击，可以直接将其加入黑名单。
  • 分析攻击趋势：最近SQL注入多还是XSS多？攻击载荷有没有新的变化？这能帮助你调整防护侧重点。
  • 优化自定义规则：根据日志中出现的、但未被现有规则覆盖的新型攻击模式，补充或调整你的自定义规则。
  • 审视误报规则：定期评估你设置的放行规则，确认它们是否仍然必要且安全。业务逻辑变更后，一些放行规则可能不再适用，甚至成为安全漏洞。

6.2 性能监控与瓶颈排查

开启WAF后，网站访问会多一跳，理论上会增加一点延迟。需要监控关键指标：

  • 平均响应时间：对比开启WAF前后的数据。
  • WAF延迟：华为云WAF控制台通常提供“攻击事件”或“监控”面板，可以看到请求经过WAF检测所花费的时间。正常情况下，这个延迟应该在毫秒级。
  • QPS/TPS：确保WAF实例的规格（带宽、处理能力）能够承受你网站的业务峰值流量。如果流量超过规格，可能会触发限流，导致部分请求被丢弃。

如果发现性能明显下降：

  1. 检查是否开启了过多的、复杂的自定义正则表达式规则，这些规则计算开销大。
  2. 检查“防护等级”是否设置过高。“严格”模式会启用所有规则，计算量最大。
  3. 考虑使用精准防护，对静态资源（如图片、CSS、JS文件）的路径关闭WAF检测，因为这些文件本身不具备可执行性，被攻击利用的风险极低。

6.3 应急响应：当攻击真的来临

即使有WAF，也不能保证100%安全。你需要有应急预案。

  1. 实时告警：在WAF控制台配置告警通知（通常可以对接华为云的SMN消息通知服务）。设置当发生“严重”级别的攻击事件，或某个IP短时间内攻击次数超过阈值时，立即通过短信、邮件或钉钉/微信机器人通知你。
  2. 攻击溯源：当发生告警，立即登录控制台查看攻击详情。获取攻击者的IP、User-Agent、攻击载荷、攻击时间。
  3. 临时封禁：如果攻击来自少量明确IP，可以立即在WAF的“黑白名单”或“CC攻击防护”模块中，将这些IP加入黑名单，设置一个临时的封禁时间（如24小时）。
  4. 流量分析：分析攻击是针对特定URL还是漫无目的的扫描。如果是针对特定漏洞（如某个SQL注入点），除了依靠WAF拦截，应立即通知开发团队修复该应用漏洞。
  5. 升级防护：如果攻击流量巨大（DDoS性质），考虑是否要联动华为云的DDoS高防服务。华为云WAF可以与高防联动，先由高防清洗流量，再交给WAF进行应用层检测。
  6. 事后复盘：攻击缓解后，组织复盘。为什么攻击会发生？WAF的拦截是否及时有效？有哪些规则需要优化？应用代码是否存在需要修复的深层漏洞？

6.4 与其他安全措施形成纵深防御

WAF是重要的一环，但绝非全部。真正的安全需要纵深防御：

  • 应用层：开发人员应始终遵循安全编码规范，对用户输入进行严格的验证和过滤（白名单原则），使用参数化查询（Prepared Statements）防御SQL注入，对输出进行编码防御XSS。WAF是最后一道防线，不是第一道。
  • 网络层：使用网络防火墙或安全组，限制服务器只开放必要的端口（如80，443）。
  • 主机层：保持操作系统、中间件（如Nginx，Tomcat）、数据库和应用程序的及时更新，修补已知漏洞。
  • 数据层：对数据库中的敏感信息进行加密存储，实施最小权限原则，数据库账户不应有超出其业务需求的权限。

WAF的价值在于，它提供了一个统一的、可快速部署和调整的防护层面，能够抵御大量已知和未知的自动化攻击，为你在应用层和系统层进行更彻底的安全加固赢得了宝贵时间。将华为云WAF的精准防护，与良好的开发安全实践和系统运维结合起来，才能构建起真正稳固的Web应用安全防线。