WAF web应用防火墙概述

WWW（万维网）概述

由互联网为基础由许多超文本互联组成的咨询系统
有三大组件：

html 超文本标记语言构筑前端页面
http 超文本传输协议传输html页面
url 统一资源定位符唯一的标识系统资源
现如今 web功能越来越强大漏洞也随着web便捷性提高而逐渐显露
从静态页面到动态页面：
静态页面：
- 通过http请求后加载到浏览器
- 由html、xml、shtml等标记语言构成
- 页面内容显示效果基本没有变化
动态页面：
- 不是简单的前端页面存在后端结合数据库程序能够实现交互
- 可编程性提高通过cgi、ajax、asp、php、jsp等脚本请求解析数据
- 由于交互性提高也更加危险攻击面广
  由于web应用的广泛且其功能强大 sql注入中间件漏洞 xss等web漏洞层出不穷 web应用需要得到保护

url基本格式：
协议类型：//用户名：用户密码@域名：端口/子目录？键=值#锚点数据（由浏览器处理有定位作用）
http://user@pass@www.test.com:80/index.php?key=value#test
上面这个url 首先协议类型为http 首先访问test.com 服务器进行身份认证通过后访问服务器web资源中的index.php 传入参数key值为value 定位到页面中test的位置

http:

超文本传输协议用于浏览器与web服务器之间通讯是无状态的传输协议（不会记录识别用户）平时使用cookie来记录识别用户

在使用时一般是由服务器首次完成身份验证后返回一个响应其中setcookie会指定客户端后面需要携带的cookie值
cookie分为：

cookie：键值对形式如user:abc passwd:xxxx 通常存储在客户端本地发起请求时带上cookie
服务器通过比对数据库识别用户缺点在于每次请求都会携带cookie 而这个cookie被他人窃取后能进行身份的伪造
session：客户端cookie中不存储数据而是存储一个sessionid session存储在服务器内存中当客户端访问服务器时带上sessionid 服务器取出对应session文件中数据与数据库比对识别用户能安全一点但sessionid泄露仍然会存在问题
token：验证信息存储在cookie中不依靠服务器或客户端存储验证身份通过公钥机制 token分为三部分：header payload signature 签名部分是由服务器的公钥签名服务器收到jwt后通过解析header中的签名 hash算法对jwt用自己的私钥解密并使用同样的hash算法比对hash 如果一致身份验证成功再到数据库中比对识别用户

其中的payload的hash值就是验证身份的关键

我们常常使用secure或者httponly的形式防止cookie的泄露：
secure能防止cookie暴露在不安全网络中设定secure后只能通过https传递cookie
httponly能防止cookie被js代码访问可以避免攻击者通过xss抓取cookie

http请求报文格式：
请求行：请求方法与url
首部：一些标识符 ua、content-type、XFF、cookie等
空行：分割首部与主体
主体：请求参数内容
get方法一般没有主体

常用请求方法：
get：请求uri
post：请求uri 携带数据传递数据到服务器
head：请求http报文首部
option：协商资源相关选项获取服务器支持的请求方法

http响应格式：
状态行：状态码原因语句 200 ok
消息首部：content-type content-length等响应
响应正文：传输的数据

https：

即http+ssl/tls
我们来了解一下tls/ssl的加密过程：
首先科普证书证书为服务器信息加服务器公钥通过第三方可信机构私钥签名后产生的

首先客户端发起请求携带随机数1 并协商可支持的加密算法、协议(如rsa aes md5)等
服务收到客户端请求得到随机数1 返回一个数据包携带可支持的算法加密协议表示确认
服务器再次发送数据包该数据包携带证书以及公钥的hash值以及一个公钥加密的随机数2
客户端收到服务器数据包通过第三方公钥解密证书取出服务器公钥 hash后对比如果一致认为信道可信使用公钥解密得到随机数2
客户端生成随机数3 使用服务器公钥加密随机数3 发送给服务器服务器解密后取出随机数3
客户端和服务器用三个随机数使用对称秘钥算法生成对称秘钥

WAF（web应用防火墙）

waf提供的防护主要有：网页防篡改敏感信息泄露 http协议异常目录遍历 webshell 盗链扫描
暴力破解 owasptop10漏洞
waf的部署模式：
串联：二层透明模式串联到网络中最简单最广泛用户访问的是真是的服务器地址不能负载均衡
牵引：使用路由策略策略路由等流量控制方式把流量牵引至waf设备然后回注一对一不能负载均衡可以ha 可以路由切换
监听：使用次数很少不会对危险操作做出防御行为用于测试 waf上线测试
反向代理、单臂：dns引流把网站解析到waf设备 waf代理服务器进行交互可以负载均衡
反向代理也就是waf代替web服务器接收流量经过检查后再把目标地址转变为目标服务器进行转发理解为dnat 可以ha可以dns切换

协议正规化防护：

主要是防护针对请求头（cookie防护）请求行
利用方式：
1.使用畸形请求占用缓冲区将缓冲区占满后恶意代码最后入栈会溢出到其它程序其他程序正在执行恶意代码挤入运行的程序后会导致恶意代码被执行
2.进行dos消耗服务器处理性能
3.恶意请求类型：delete put option方法禁止使用
4.恶意url：一般web漏洞使用get方法利用漏洞时请求头部较长限制长度可以防止大部分简单攻击
5.元字符攻击：通过元字符逃逸请求检测最好是禁止使用元字符
5.编码攻击：编码问题是比较常见的近期著名的cve2024phpcgi漏洞就是利用了主机编码与网页编码不一致导致的
6.针对cookie的攻击：限制cookie长度限制cookie数量也需要针对cookie防护有时cookie可以进行sql注入
7.针对请求头的攻击：请求头中存在大量字段常见字段ua是区别用户与程序访问的重要方式字段重复字段长度这些都会影响服务器的解析可以采取对字段限制长度限制个数来防止攻击

waf的防护手段主要有两大类型分别是基于语义分析 基于正则匹配
基于语义分析的waf 有国产著名的雷池基于正则有著名的引擎aws owasp 这些

web漏洞防护：

著名的有：

sql注入：服务端不对用户的输入进行检测并且是直接进行拼接没有预编译参数化处理导致sql语句直接拼接到原有的查询语句后用户能够任意执行sql语句

防御方法：禁止转义字符实体化编码进行过滤预编译处理参数化输入

xss：跨站脚本执行浏览器解析非法用户传入的前端代码直接执行js脚本获取cookie或者直接配合csrf进行操作

防御方法：过滤字符实体化编码引入csp禁止加载不信任的脚本

csrf：跨站请求攻击通过利用其它用户的身份进行不合法的操作常与xss结合

防御方法：操作进行验证操作嵌入token 验证refer

命令行注入：用户请求直接由操作系统解析并处理返回导致用户任意执行计算机命令

防御方法：对操作命令进行过滤只允许执行特定操作设定acl 对web服务权限进行限制加入虚拟系统减少主机暴露

这些漏洞 waf防控的方法大部分为正则过滤

扫描防护：

在渗透初期常常需要对目标的应用进行扫描或者有时会使用爬虫
此时就需要对用户的访问频率进行限制

文件上传：

在web站点中常常会有恶意用户上传脚本或者上传代码让服务器触发运行此时就要对文件内容进行检测或者对文件直接进行重命名操作注意保护htaccess user.ini文件防止修改可解析文件类型或者直接包含

信息泄露：

有时请求的返回数据会泄露部分信息通过waf对某些信息可以屏蔽隐藏
如请求头服务路径敏感文件关键文件项目源码等

反向代理waf部署：

代理模式一般用于需要ssl证书进行认证的情况下
分为
普通模式：进行http服务代理
单向卸载：服务器运行http服务客户端请求waf时使用https 需要导入服务器的私钥和公钥（证书）
双向加载：服务器运行https waf与客户端交互使用https的方式需要在waf设备中导入证书和私钥

透明代理：
waf三层方式运行配置vlanif接口访问时将代理地址写入内容与真实服务地址一样使用卸载方式开启透明代理禁止nat
单向卸载：
二层组网：配置代理地址配置vlanif接口代理地址设为漂浮地址服务器地址为真实服务器地址注意使用nat 转换原地址为vlanif接口地址
三层组网：直接使用漂浮地址对外访问不用nat 除非单臂组网