WAF如何防御SQL注入

本文目录导读：

1. 基于规则的静态检测（签名匹配）
2. 基于智能算法的异常检测
3. 上下文感知与解码
4. 参数化与规范化
5. 响应侧检测（异常响应分析）
6. 虚拟补丁与规则自定义
7. 绕过WAF的常见手法（为什么WAF会失效）
8. WAF不是银弹

WAF（Web应用防火墙）防御SQL注入的核心原理是对HTTP请求进行深度解析和模式匹配，在流量到达Web服务器之前，识别并阻断恶意的SQL注入载荷。

以下是WAF防御SQL注入的主要技术手段和机制,按检测层级从浅入深排列：

基于规则的静态检测（签名匹配）

这是最基础、最常见的方式，WAF维护一个庞大的攻击签名库，包含已知的SQL注入关键词、语法特征和特殊字符组合。

• 常见匹配规则：
  • SQL关键字： UNION SELECT、INSERT INTO、DROP TABLE、OR 1=1、AND SLEEP(5)。
  • 特殊字符与语法： 单引号 、分号 、双横线 、井号 、注释符 。
  • 函数名： DATABASE()、VERSION()、LOAD_FILE()、CHAR()。
• 局限性： 攻击者可以通过绕过技术（如大小写混合、URL编码、注释混淆、利用等价函数）来绕过基于固定字符串的正则匹配。
  • 例子： UnIoN SeLeCt 绕过小写匹配； UN/**/ION SEL/**/ECT 绕过关键字匹配； 1=2 AND 1=1 绕过 OR 1=1。

基于智能算法的异常检测

为了对抗绕过技术,现代WAF会使用更复杂的算法来理解SQL语句的逻辑结构，而不仅仅是匹配字符串。

• 语义分析： WAF会尝试对输入的SQL语句进行轻量级解析，判断其是否符合正常的SQL语法结构，如果用户输入被插入后，改变了原本SQL语句的语法树（添加了 WHERE 子句或 UNION 分支），即判定为攻击。
• 机器学习模型： 高级WAF会使用分类模型，通过海量正常流量和攻击流量训练，模型能够识别出即使经过编码或混淆，但内在模式仍属于恶意SQL注入的请求。
• 异常行为评分： 对每个请求参数进行多维度评分，如果参数中同时出现 、OR 和 整数比较，其综合评分可能超过阈值而触发拦截。

上下文感知与解码

攻击者经常使用多层编码（如URL编码、Base64、Unicode编码）来隐藏payload，WAF需要先进行深度解码，再应用检测规则。

• 解码层： WAF会依次尝试URL解码、HTML实体解码、Unicode解码，甚至对JSON/XML格式的请求体进行解析。
• 位置感知： 知道参数是出现在URL的查询字符串、请求体（Form/JSON/XML）还是Header中，并针对不同上下文应用不同的检测策略，Header中的 User-Agent 字段如果出现SQL语法，通常比表单字段更可疑。

参数化与规范化

• 输入规范化： 在检测前，WAF会将各种变体（如 %27、、）统一转化为标准形式，如 。
• 长度限制与白名单： 对特定参数（如用户ID、文章ID）进行正则匹配，只允许数字或字母，完全杜绝SQL语法的可能性，对于非预期超长参数，直接阻断。

响应侧检测（异常响应分析）

有些高级WAF不仅看请求,也看服务器响应，如果WAF检测到Web服务器返回了数据库错误信息（如 You have an error in your SQL syntax、ORA-00933）或者返回了大量非预期的数据，它会认为攻击已经发生或正在测试，从而主动阻断当前会话或标记用户IP。

虚拟补丁与规则自定义

WAF并非万能,当新的零日漏洞（如未公开的CMS SQL注入漏洞）出现时，企业可以通过WAF的虚拟补丁功能，临时添加一条精准的规则来拦截针对该漏洞的攻击流量，而不必等待Web应用本身升级。

绕过WAF的常见手法（为什么WAF会失效）

了解如何绕过,有助于理解WAF的防御极限：

1. 分块传输（Chunked Transfer）： 将payload拆成小块发送，绕过单次请求的规则检查。
2. HTTP参数污染（HPP）： 发送多个同名参数，利用服务器解析方式与WAF的差异。
3. HTTP请求方法伪装： 使用 PUT、PATCH、OPTIONS 等非标准方法发送SQL注入。
4. 特殊字符编码： 使用 %2527（二次编码）、%ef%bc%87（全角单引号）等。
5. 利用WAF自身的缺陷： WAF对请求体大小有限制，超过限制则不再检测。

WAF不是银弹

关键结论：

• WAF是防御层，不是替代层。 它不能修复有漏洞的代码，如果Web应用存在SQL注入漏洞，WAF只是增加了攻击难度，无法100%保证安全。
• WAF需要持续维护。 签名库必须更新，规则需要根据业务正常流量进行调优，否则会产生大量误报（拦了正常请求）或漏报（放过攻击）。
• 最有效的防御仍是代码层。 在应用代码中使用参数化查询（Prepared Statements） 或 存储过程，从源头上杜绝SQL注入，是比任何WAF都更根本的解决方案。

一句话总结：WAF通过“看、猜、拆”来防御SQL注入——看参数里有没有危险词，猜语法结构是不是恶意，拆开编码还原真面目，但它永远只是最后一道防线，而不是第一道。