Web应用防火墙（WAF）：功能与工作原理

Security2026-10-05TryQuickToolBox

为什么你的Web应用需要的不只是防火墙

你已经有传统的网络防火墙，但你的Web应用仍然遭受攻击。为什么？因为网络防火墙工作在第三层和第四层，检查IP地址和端口。它们无法区分合法的登录请求和隐藏在表单字段中的SQL注入载荷。这就是Web应用防火墙（WAF）的用武之地。

WAF位于用户和Web服务器之间，在第七层分析HTTP/HTTPS流量。它检查请求和响应中表明攻击的模式——如SQL注入、跨站脚本（XSS）或恶意文件上传——并在它们到达你的应用之前进行拦截。

可以把WAF想象成Web流量的安全卫士。其核心功能包括：

重要的是，WAF并非万能药。它补充安全编码实践，但不能替代它们。然而，配置良好的WAF可以提供关键的一层防御，特别是对于遗留应用或零日漏洞利用期间。

WAF使用两种主要方法分析流量：基于特征的检测和基于异常的检测。

该方法依赖于已知攻击模式的数据库。例如，规则可能查找查询参数中的字符串' OR '1'='1，这是经典的SQL注入尝试。基于特征的WAF速度快且对已知威胁有效，但可能漏掉新型攻击。

基于异常的WAF建立正常流量的基线并标记偏差。例如，如果用户突然向登录端点提交10MB的POST请求，那就是异常。这种方法可以捕获未知攻击，但可能产生误报。

大多数现代WAF结合两种方法，通常使用机器学习来提高准确性。它们还将HTTP请求解析为组件（方法、URL、头部、正文），并对每个部分应用规则。

你可以通过多种方式部署WAF，每种方式都有权衡：

部署类型	描述	优点	缺点
基于云（反向代理）	流量通过云提供商的WAF路由（例如Cloudflare、AWS WAF）。	易于设置、DDoS防护、全球规模。	增加延迟、持续成本、数据离开你的基础设施。
基于主机（插件/模块）	安装在Web服务器本身上（例如ModSecurity与Nginx/Apache）。	低延迟、完全控制、无第三方依赖。	需要维护、随服务器资源扩展。
基于网络（设备）	放置在数据中心的专用硬件。	高性能、离线。	昂贵、配置复杂、灵活性较差。

对于大多数现代Web应用，基于云的WAF或像ModSecurity这样的基于主机的解决方案是实际选择。云WAF对小型团队特别有吸引力，因为它们处理基础设施和规则更新。

如果你使用ModSecurity，你可能会搭配OWASP核心规则集（CRS）。CRS是一组通用攻击检测规则，提供针对OWASP Top 10的防护。它包括以下规则：

然而，CRS可能过于激进。你需要调整它以避免阻止合法流量。从仅检测模式开始，审查日志，然后逐步启用阻止规则。

以下是在Ubuntu上部署ModSecurity与Nginx的简化示例。这为你提供了一个基于主机的WAF。

安装ModSecurity和Nginx连接器：

sudo apt install libmodsecurity3 libnginx-mod-http-modsecurity

在Nginx中启用模块：将load_module modules/ngx_http_modsecurity_module.so;添加到/etc/nginx/nginx.conf的顶部。

下载OWASP CRS：

git clone https://github.com/coreruleset/coreruleset.git /etc/nginx/modsec/coreruleset

配置ModSecurity：创建/etc/nginx/modsec/main.conf，内容如下：

Include /etc/nginx/modsec/modsecurity.conf
Include /etc/nginx/modsec/coreruleset/crs-setup.conf
Include /etc/nginx/modsec/coreruleset/rules/*.conf

在你的服务器块中启用ModSecurity：

server {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
    ...
}

测试并重新加载Nginx：

sudo nginx -t && sudo systemctl reload nginx

设置后，监控/var/log/modsec_audit.log以查看被阻止的请求。通过为误报添加排除项来调整规则。

WAF并非万无一失。攻击者可以使用编码技巧、混淆或利用特征无法捕获的逻辑缺陷来绕过WAF。此外，WAF无法防护不经过HTTP的攻击，如直接数据库访问。

要充分利用你的WAF：

不能。WAF是补充层。它可以阻止许多攻击，但如果WAF被绕过或配置错误，代码中的漏洞仍可能被利用。始终遵循安全编码指南。

它可能增加轻微延迟，特别是如果基于云或执行深度检查。然而，现代WAF经过优化，安全收益通常超过轻微的性能影响。像ModSecurity这样的基于主机的WAF可以针对性能进行调整。

考虑你的预算、团队专业知识和合规需求。云WAF更易于设置和扩展，而自托管WAF提供更多控制并将数据保留在你的基础设施上。对于小型团队，云WAF通常更实用。