網路遊俠：使用WEB應用防火牆保護網站安全

科技小能手發表於2017-11-13
原文網址 : https://flycode.co/archives/119719
Web防火牆網站
　其實這臺WEB應用防火牆（WAF）在公司放了很久了，平時看看，但是基本沒有靜下心來仔細看看。現在到下班還有半個小時，粗略的過一下吧，看看WAF的功能。
　　實際上WAF和傳統防火牆的區別比較大，比如傳統防火牆一般通過對IP和Port的過濾實現安全性，而WAF則是通過對資料包的深層檢測實現WEB攻擊的檢測和阻斷，如SQL隱碼攻擊、XSS攻擊等，下面網路遊俠給大家舉例子看WAF是如何對網站進行防護的。
　　網路的拓撲是這樣的：

　　網路遊俠用的是膝上型電腦，通過交換機到WEB伺服器，在伺服器前我串接了WAF，是透明接入。說一句：我用的這臺WAF透明接入，一個網路卡是in，一個網路卡是out，還有一個Admin口，部署相當便捷，可以說5分鐘就可以除錯。用Console線設定下IP地址，就可以通過Admin口用瀏覽器訪問了。
　　我關閉了WAF的阻斷功能，就是說，現在雖然WAF部署在WEB伺服器前，但是是不對網站進行防護的。然後找了一套企業網站CMS程式，伺服器是Windows 2003 + IIS，為了省事，程式理所當然的選擇的ASP的。下面我們看看演示，下圖是用明小子Domain的掃描結果，提示有注入漏洞：

　　找一個連線，複製到瀏覽器，手工輸入個判斷SQL隱碼攻擊的語句看看：

　　說找不到產品，實際上輸入關鍵詞繼續用工具注入是可以掃描出使用者名稱、密碼的。相信諸位也經常做WEB滲透測試，這個不用遊俠我多說。我們下面開啟WEB應用防火牆：

　　開啟了WAF後，我們嘗試下SQL隱碼攻擊，手工就OK了。

　　看到了吧？並沒有出現什麼提示，而是被WAF直接就阻斷掉了。
　　登入WAF看看報警提示：

　　攻擊IP、時間，攻擊的形式，都可以展現在管理員面前。
　　點選報警的記錄，還可以展現更詳細的內容：

　　WAF對攻擊的四種處理方式：檢測、阻斷、直接放行、丟棄
　　當然，阻斷SQL隱碼攻擊僅僅是WAF的一個小功能，其它的像XSS、Cookies也都可以搞定。下圖是我選擇的一部分自帶策略，大家可以看看，手頭這個裝置的策略還是比較豐富的。

　　本款WAF支援WEB快取加速，並且配置非常簡單。大家看下圖：

　　只需要開啟就可以了，並且滑鼠放到“？”圖示上就可以看到即時幫助，這個還是很人性化的。

　　不得不說的還有報表功能，除了可以自定義時間段、攻擊型別、IP地址等等常見的功能，匯出功能也比較強大，還有我比較喜歡的PDF和PPT型別，不得不說是比較人性化。下面是生成的一份圖形報告：
　　

　　好了，WEB應用防火牆就介紹到這裡，近期會介紹資料庫審計與風險控制系統，敬請關注張百川（網路遊俠）的部落格！



本文轉自網路遊俠 51CTO部落格，原文連結:http://blog.51cto.com/youxia/200258


相關文章