WAF如何防御SQL注入

wen 开源项目 2026-06-30 27

本文目录导读：

WAF如何防御SQL注入

Web应用防火墙（WAF）防御SQL注入的核心思路是在HTTP请求到达Web服务器之前，对请求进行深度检测和过滤，阻断恶意载荷，其防御机制主要分为以下几个层次：

基于规则的模式匹配（最基础、最常见）

这是早期WAF的主要方式,也是目前各类WAF的必备能力，它通过维护一个庞大的、不断更新的正则表达式库来识别恶意特征。

：检测URL参数、POST请求体、Cookie、HTTP头部等所有用户可控的输入点。
典型规则：
- 检测SQL关键字：SELECT、UNION、INSERT、DROP、DELETE、OR、AND等。
- 检测SQL函数：SYSTEM_USER()、DATABASE()、VERSION()、BENCHMARK()、SLEEP()等。
- 检测特殊字符和语法：单引号、双横线（注释符）、、、（语句分隔符）、OR 1=1、AND 1=2等。
- 检测编码绕过的变种：如%27（URL编码的单引号）、0x27（十六进制编码）、双URL编码%2527、Unicode编码等。
优点：速度快，对已知攻击检测准确。
缺点：容易被精心构造的绕过技术欺骗（如使用注释符分割关键字、大小写混淆、替换等价函数等），且无法防御未知的0day攻击。

为解决规则匹配容易被绕过的问题,现代WAF引入了更智能的模型，通过模拟SQL解析器的部分功能来理解请求的“意图”。

词法分析和语法分析：WAF会尝试解析用户输入的结构，它识别到admin' OR 1=1 --，发现admin后面的单引号打破了原有SQL语法的平衡，导致后面跟了额外的逻辑OR，当语法结构出现异常时，即判定为攻击。
上下文感知：判断SQL拼接的位置是在字符串内、数字内还是关键字后。
- WHERE id = 123（数字，安全）
- WHERE id = 123 OR 1=1（数字后多了逻辑判断，可疑）
- WHERE name = 'admin'（字符串，单引号成对，安全）
- WHERE name = 'admin' OR '1'='1'（字符串后多出引号和逻辑，攻击）
优点：能有效防御许多基于变种编码、注释绕过的攻击，对未知攻击（基于已知模式）的检测率更高。

通过建立用户或应用的正常行为基线,识别偏离常态的请求。

频率与速率限制：检测到特定IP在极短时间内对某个URL发起大量包含SQL特征的请求（如SQL注入扫描工具的行为），直接封禁IP一段时间。
参数异常检测：比较正常请求的参数长度、类型、字符分布，如果某个参数通常只接收数字（如id=1），突然出现长字符串或SQL关键字（如id=1' OR '1'='1），判定为异常。
机器学习模型：一些高级WAF会使用机器学习模型（如分类算法）基于大量正常流量和攻击流量训练，能识别出非常隐蔽的、不符合任何已知规则的混淆SQL注入。

检测到攻击后,WAF会执行一系列操作：

阻断：直接拒绝该HTTP请求，返回403、406等状态码，或返回一个自定义的警告页面。
记录告警：将攻击日志（源IP、攻击载荷、时间、URL）记录下来，用于后续分析和溯源。
会话标记：对有攻击行为的用户会话打上标记，未来即使该用户发送看似正常的请求也可能被限制或监控。
虚拟补丁：当Web应用本身出现已知的SQL注入漏洞但无法立即修复时，WAF可以立即启用一条针对该漏洞的虚拟补丁规则，在代码层之外暂时阻断攻击，为开发团队争取修复时间。

尽管WAF非常有效,但它并非万能，主要原因如下：

攻击复杂度：攻击者可以利用非常复杂的编码、空白字符、注释混合等方式构造命令，依靠规则库的WAF难以检测。
```
?id=1'/*!UNION*/--+/*!SELECT*/--+1,2,3--+
```
绕过技术：
- HTTP协议篡改：将数据放在分块传输编码的trailer部分、利用请求走私、压入HTTP参数等。
- 大数据包绕过：在正常请求后附加大量垃圾数据，WAF可能因性能考虑或缓冲区限制而只检查前N个字节。
- 注入点在非典型位置：例如在JSON Body、XML Body、多部分文件上传中的文件名、HTTP头部中的X-Forwarded-For等位置。
性能权衡：为了不显著增加用户访问延迟，WAF不可能对每个请求都执行极其耗时的深度语法分析或机器学习推理，这给攻击留下了空隙。
不适用于业务逻辑攻击：WAF无法区分合法的SELECT语句（如用户正常搜索产品）与恶意的SELECT语句（如试图读取其他用户资料），这需要应用本身的安全编码（如使用参数化查询）。

安全是分层防御的，WAF是非常重要的一道防线，但绝不能是唯一的一道。

防御层	职责	谁负责
输入验证	前端/应用开发者对用户输入进行严格的类型、长度、格式限制	开发团队
安全编码	使用参数化查询（Prepared Statement）或存储过程，彻底从源头上杜绝SQL拼接。这是最根本的防御	开发团队
WAF	拦截绕过应用层检查的恶意请求，提供应急的虚拟补丁能力	运维/安全团队
最小权限	数据库账户仅授予执行必要操作的最小权限（查询用户无权限执行`DROP TABLE`）	DBA
监控与审计	定期检查数据库日志，及时发现异常查询行为	安全运维团队

一句话总结：WAF通过规则匹配、语义分析、行为模型来识别和阻断SQL注入尝试，它是一道有效的、实时的过滤层，但最可靠的方法始终是在代码层面使用参数化查询彻底消除漏洞，WAF更适合作为应急补丁和防御绕过工具的补充。