推荐订阅源

云WAF

　　云WAF，全称是Web Application Firewall，Web应用防火墙。

　　专注于应用层（OSI第7层），保护Web应用程序免受攻击。

• 核心功能：

  • 防御针对Web应用的攻击，如SQL注入、XSS跨站脚本、CSRF、文件上传漏洞等。

  • 防护OWASP Top 10中定义的常见Web安全风险。

  • 缓解CC攻击（HTTP Flood）、恶意爬虫（Bot）和API滥用。

  • 提供HTTPS流量解密与检测、敏感数据泄露防护。

  • 支持自定义规则（如黑白名单、访问频率限制）。

云防火墙

定位与功能

• 防护层级：覆盖网络层和传输层（OSI第3-4层），部分产品扩展至应用层。

• 核心功能：

  • 基于IP、端口、协议的网络流量访问控制（类似传统防火墙的ACL）。

  • 防御DDoS攻击、端口扫描、暴力破解等网络层攻击。

  • 实现VPC（虚拟私有云）之间的东西向流量隔离。

  • 提供入侵防御（IPS）、恶意IP拦截、威胁情报联动。

  • 日志审计与流量可视化（如监控异常流量）。

核心区别对比

维度	云WAF	云防火墙
防护层级	应用层（HTTP/HTTPS）	网络层（IP/端口/协议）
防护对象	Web应用、API、业务逻辑漏洞	服务器、网络资源、基础设施
主要威胁	SQL注入、XSS、CC攻击、Bot爬虫	DDoS、端口扫描、暴力破解、IPS攻击
部署位置	Web服务器前端或API网关	云环境入口或VPC边界
配置重点	URL规则、会话管理、敏感数据过滤	IP黑白名单、端口开放策略
适用合规性	PCI-DSS（支付安全）、GDPR	等保2.0、ISO 27001

两者通常互补，共同构建纵深防御体系：

1. 云防火墙作为第一层防护，过滤恶意IP、限制非必要端口暴露。

2. 云WAF作为第二层防护，深度解析HTTP流量，拦截应用层攻击。

3. 例如：一个电商网站可能用云防火墙屏蔽恶意IP的SSH爆破尝试，同时用云WAF拦截针对商品页面的XSS攻击。

SQL注入的根本原因：应用程序的权限漏洞

1、应用程序是中间人：

你的网站/APP（前端）需要连接数据库（后端）时，会使用一个数据库账号和密码（例如db_user:123456）。

这个账号通常被赋予一定的权限（如读取用户表、写入订单表等）。

攻击者无法直接拿到这个密码，但他们可以通过操控应用程序的输入，间接利用这个账号的权限执行恶意SQL语句。

2、漏洞产生场景：
当应用程序未正确处理用户输入，直接拼接SQL语句时，攻击者可以注入恶意代码。

3、如何确保代码操作数据库的安全性？

(1) 始终使用参数化接口

• 强制规则：禁止在代码中出现字符串拼接的 SQL 语句，无论是否使用 ORM。

• 工具辅助：使用 IDE 插件或代码扫描工具（如 SonarQube）检测危险代码。

(2) 严格控制动态查询

白名单校验：若必须动态拼接字段名（如表名、排序字段），应基于预定义的允许值（白名单）校验。

(3) 最小化数据库权限

• 限制账号权限：应用程序使用的数据库账号应仅拥有最小必要权限（如禁止 DROP TABLE、FILE 权限）。

(4) 防御性编程

• 输入过滤：对用户输入进行类型、格式、范围的严格校验（如邮箱格式、数字范围）。

• 错误信息隐藏：避免将数据库错误详情直接返回给用户（防止攻击者利用报错信息探测漏洞）。

DDoS攻击

DDoS（分布式拒绝服务攻击）的核心是通过海量恶意流量压垮目标，导致合法流量无法被处理。

要素	说明
分布式攻击源	攻击者控制成千上万台设备（肉鸡）同时发起请求，形成“攻击集群”
流量规模	总流量可达Tbps级别（相当于同时下载数百万部高清电影）
攻击目标	耗尽目标服务器的带宽、CPU、内存、连接数等资源
攻击层次	从底层网络协议到高层应用逻辑的全方位打击

DDoS攻击的三大类型及原理

1. 流量型攻击（Volumetric Attacks）

• 目标：堵塞网络带宽，让正常流量无法到达服务器。

• 典型手段：

  • UDP Flood：发送大量伪造源IP的UDP包（如DNS查询），占用带宽。

  • ICMP Flood：利用Ping请求（ICMP Echo）淹没目标。

  • 反射放大攻击：伪造目标IP向第三方服务器（如NTP、Memcached）发送请求，利用响应包放大流量（可达数万倍）。

🌰 示例：
攻击者控制10万台设备，每台以1Gbps速率发送UDP包 → 总攻击流量达10Tbps，远超普通服务器的带宽容量。

2. 协议型攻击（Protocol Attacks）

• 目标：耗尽服务器连接资源（如TCP连接表、防火墙会话表）。

• 典型手段：

  • SYN Flood：发送大量TCP SYN请求但不完成三次握手，使服务器维持半开连接直至超时。

  • Ping of Death：发送畸形ICMP包，导致服务器崩溃（现代系统已修复此漏洞）。

  • Slowloris攻击：以极慢速度发送HTTP请求头，长期占用服务器连接。

🌰 示例：
服务器最大支持10万并发连接，攻击者每秒发起5万SYN请求 → 连接表迅速填满，正常用户无法建立新连接。

3. 应用层攻击（Application Layer Attacks）

• 目标：模拟合法用户行为，消耗服务器计算资源（如数据库查询、动态页面生成）。

• 典型手段：

  • HTTP Flood：大量恶意HTTP请求（如频繁访问登录接口、搜索页面）。

  • CC攻击（Challenge Collapsar）：针对需要复杂计算的接口（如验证码生成、加密API）。

  • 慢速攻击：以极低速度上传大文件（如每秒1字节），长期占用连接。

🌰 示例：
电商网站促销时，攻击者伪造1万个用户每秒刷新商品详情页 → 服务器CPU因处理动态页面负载飙升，正常用户访问超时。

• 轻量业务：优先使用Cloudflare免费WAF + 云厂商基础防火墙。