HTTP -- WAF

1，几种Web攻击

DDoS（洪水攻击）：黑客控制许多“僵尸”计算机，向目标服务器发起大量无效请求。服务器无法区分正常用户和黑客，挤占正常用户应有资源。攻击强度大像“洪水”一样对网站的服务能力造成冲击，耗尽带宽、CPU 和内存，导致网站完全无法提供正常服务
SQL注入：字符串拼接形成 SQL 语句的漏洞，构造出非正常的 SQL 语句，获取数据库内部的敏感信息。
HTTP头注入：在“Host”“User-Agent”“X-Forwarded-For”等字段里加入了恶意数据或代码，服务端程序如果解析不当，就会执行预设的恶意代码。
XSS（跨站脚本伪造）：JS 代码注入，利用 JavaScript 脚本获取未设防的 Cookie

2，WAF

WAF（Web Application Firewall）：网络应用防火墙，HTTP 入侵检测和防御系统，工作在七层，为 Web 服务提供全面的防护；
ModSecurity 是一个开源的、生产级的 WAF 产品，核心组成部分是“规则引擎”和“规则集”，两者的关系有点像杀毒引擎和病毒特征库；
WAF 实质上是模式匹配与数据过滤，所以会消耗 CPU，增加一些计算成本，降低服务能力，使用时需要在安全与性能之间找到一个“平衡点”

2.1 WAF功能

IP 黑名单和白名单，拒绝黑名单上地址的访问，或者只允许白名单上的用户访问；
URI 黑名单和白名单，与 IP 黑白名单类似，允许或禁止对某些 URI 的访问；
防护 DDoS 攻击，对特定的 IP 地址限连限速；
过滤请求报文，防御“代码注入”攻击；
过滤响应报文，防御敏感信息外泄；
审计日志，记录所有检测到的入侵操作。

2.2 WAF实现原理

如同编码接口做的入参校验
拿到 HTTP 请求、响应报文，用字符串处理函数看看有没有关键字、敏感词，或者用正则表达式做一下模式匹配，命中了规则就执行对应的动作，比如返回 403/404。

注 ：如有不当之处，联系侵删。文章节选自极客时间–透视HTTP协议