waf测试

waf简介

WAF防火墙其实就是Web Application Firewall，是一个web应用防护系统。企业等用户一般采用防火墙作为安全保障体系的第一道防线。WAF工作在应用层，因此对Web应用防护具有先天的技术优势。基于对Web应用业务和逻辑的深刻理解，WAF对来自Web应用程序客户端的各类请求进行内容检测和验证，确保其安全性与合法性，对非法的请求予以实时阻断，对各类网站站点进行有效防护，从而保障网站的业务安全和数据安全。

主要作用：

• 漏洞攻击防护，可防御常见Web应用攻击，列如SQL注入、XSS跨站、Webshell上传、后门隔离保护、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、核心文件非授权访问、路径穿越、扫描防护等常见的攻击行为。
• 虚拟补丁，可提供0Day，NDay漏洞防护。当发现有未公开的0Day漏洞，或者刚公开但未修复的漏洞被利用时，可以在Web应用漏洞补丁发布和修复之前，通过调整Web防护策略实现快速防护，抵挡黑客的攻击，防护网站安全。
• 0day补丁定期及时更新：及时更新漏洞补丁，防护网站安全。
• 简介转载：什么是WAF防火墙以及具体作用_德迅云安全杨德俊的博客-CSDN博客_waf防火墙

测试

添加域名并开启cdn加速后，又面临web安全问题，以下为waf测试实践 

网站防护规则

• cc安全防护

可根据IP或Cookie设置灵活的限速策略，有效缓解CC攻击，主要配置参数：

匹配字段覆盖：referer、url路径、请求参数、user-agent、http请求方法、cookie key、cookie value、header key、header value、content type、content length

• ip黑白名单

自定义IP名单，精准识别部分IP是需要拦截或放行

• 自定义防护策略

对常见HTTP字段进行条件组合，支持定制化防护策略

• 地域封禁

可以对境外国家和地区以及中国各大省份和地区进行黑名单封禁，阻断该区域的所有访问来源。

安全报表

验证点：

开启规则后，验证拦截是否生效，即不会让请求打到业务机器。