WAF可以防御哪些攻击
客户提问：
WAF可以防御哪些攻击
凯铧互联技术回复：
Web 应用防火墙可以防止 Web 应用免受各种常见攻击，比如 SQL 注入，跨站脚本漏洞（XSS）等。WAF 也能够监测并过滤掉某些可能让应用遭受 DOS（拒绝服务）攻击的流量。WAF 会在 HTTP 流量抵达应用服务器之前检测可疑访问。
Web 应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web 应用防火墙是通过执行一系列针对 HTTP/HTTPS 的安全策略来专门为 Web 应用提供保护的一款产品。
WAF 可以防御哪些攻击？
Web 应用防火墙可以防止 Web 应用免受各种常见攻击，比如 SQL 注入，跨站脚本漏洞（XSS）等。WAF 也能够监测并过滤掉某些可能让应用遭受 DOS（拒绝服务）攻击的流量。WAF 会在 HTTP 流量抵达应用服务器之前检测可疑访问，同时，它们也能防止从 Web 应用获取某些未经授权的数据。
其中几种比较常见的攻击类型如下：
1、跨站脚本漏洞（XSS）
攻击者通过往 Web 页面里插入恶意 Script 代码，当用户浏览该页面时，嵌入在 Web 页面里的 Script 代码会被执行，从而达到恶意攻击用户的目的。
XSS 大概分为两类：
反射型攻击。恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击。
存储型攻击。恶意代码被保存到目标网站的服务器中，这种攻击具有较强的稳定性和持久性，比较常见的场景是在博客，论坛等社交网站上。
XSS 攻击能够：
获取用户 Cookie，将用户 Cookie 发送回黑客服务器。
获取用户的非公开数据，比如邮件、客户资料、联系人等。
2、SQL 注入
通过在目标数据库执行可疑 SQL 代码，以达到控制 Web 应用数据库服务器或者获取非法数据的目的。SQL 注入攻击可以用来未经授权访问用户的敏感数据，比如客户信息、个人数据、商业机密、知识产权等。
SQL 注入攻击是最古老，最流行，最危险的 Web 应用程序漏洞之一。比如查询?id=1，如果不对输入的 id 值 1 做检查，可以被注入?id=1 or 1=1 从而得到所有数据。
SQL 注入的产生原因通常表现在以下几方面：
不当的类型处理。
不安全的数据库配置。
不合理的查询集处理。
不当的错误处理。
转义字符处理不合适。
多个提交处理不当。
3、Cookie 篡改
Cookie 篡改是攻击者通过修改用户 Cookie 获得用户未授权信息，进而盗用身份的过程。攻击者可能使用此信息打开新账号或者获取用户已存在账号的访问权限。
很多 Web 应用都会使用 Cookie 保存用户的 Session 信息，当用户使用 Cookie 访问该应用时，Web 应用能够识别用户身份，监控用户行为并提供个性化的服务。而如果 Cookie 的使用缺乏安全机制的话，也很容易被人篡改和盗用，并被攻击者用来获取用户的隐私信息。
4、未经验证的输入
Web 应用往往会依据 HTTP 的输入来触发相应的执行逻辑。而攻击者则很容易对 HTTP 的任何部分做篡改，比如 URL 地址、URL 请求参数、HTTP 头、Cookies 等，以达到攻破 Web 应用安全策略的目的。
5、网页信息检索（Web scraping）
通过一些工具来获取网页内容，并从中提炼出有用的网站数据信息。
WAF 和 DDos
DDos 的全称是 Distributed Denial of service。主要依靠一组计算机来发起对一个单一的目标系统的请求，从而造成目标系统资源耗尽而拒绝正常的请求。
根据 OSI 的 7 层网络模型，网络可以从上到下分为：
第七层：应用层，SMTP，HTTP，DNS 等各种协议。
第六层：表示层，信息的语法语义以及他们的关联，如加密解密，压缩解压缩。
第五层：会话层，建立和维持连接，。
第四层：传输层，TCP，UDP。
第三层：网络层，IP 和路由。
第二层：数据链路层，MAC 地址。
第一层：物理层，基于光纤的信号。
根据 OSI 网络模型，最常见的 DDos 有三类，第三层（网络层）DDos、第四层（传输层）DDos 和第七层（应用层）DDos。
第三层 DDOs，基于 IP 的攻击。IP 数据包在网络传递时，数据包可以分成更小的片段。到达目的地后再进行合并重装。在实现分段重新组装的进程中存在漏洞，缺乏必要的检查。利用 IP 报文分片后重组的重叠现象攻击服务器，进而引起服务器内核崩溃。
第四层 DDos，基于 TCP 的攻击。SYN Flood 攻击的过程在 TCP 协议中被称为三次握手(Three-way Handshake)，而 SYN Flood 拒绝服务攻击就是通过三次握手而实现的。TCP 连接的三次握手中，假设一个用户向服务器发送了 SYN 报文后突然死机或掉线，那么服务器在发出 SYN+ACK 应答报文后是无法收到客户端的 ACK 报文的(第三次握手无法完成)，这种情况下服务器端一般会重试(再次发送 SYN+ACK 给客户端)并等待一段时间后丢弃这个未完成的连接。服务器端将为了维护一个非常大的半连接列表而消耗非常多的资源。
第七层 DDos，基于应用层的攻击。基于应用层的 DDos 攻击会更复杂，处理起来更棘手。这类攻击往往会模仿用户和 Web 应用之间的交互行为，增加判断的难度。
WAF 主要处理第七层 DDos 攻击，它在处理第七层 DDos 攻击时会比其它防护手段更高效一些。WAF 会对 HTTP 流量做详细的分析，这样 WAF 就能针对正常的访问请求进行建模，然后使用这些模型来区分正常的请求和攻击者使用机器人或者脚本触发的请求。
WAF 和传统防火墙的区别
传统防火墙主要用来保护服务器之间传输的信息，而 WAF 则主要针对 Web 应用程序。网络防火墙和 WAF 工作在 OSI7 层网络模型的不同层，相互之间互补，往往能搭配使用。
网络防火墙工作在网络层和传输层，它们没有办法理解 HTTP 数据内容，而这个正式 WAF 所擅长的。网络防火墙一般只能决定用来响应 HTTP 请求的服务器端口是开还是关，没办法实施更高级的、和数据内容相关的安全防护。
总结：WAF 是 Web 应用不可缺少的基础安全组件之一，能帮助我们预防一些常见的攻击手段。部署磐云后就能自动完成 WAF 的接入和使用，极大地降低了 WAF 的使用门槛。我们很难有理由在使用云服务时拒绝使用 WAF 服务。
阿里云合作伙伴凯铧互联，长期合作，安全稳定。如果亲们对云服务器有需求，可以直接咨询我们的在线客服，通过我们购买阿里云的产品可享受满减优惠、折扣优惠、返利优惠！我们7*24小时随时随地提供技术服务！
本文适用于:
WAF可以防御哪些攻击
上述就是云服务器如何选择操作系统的简述，如果您还有阿里云服务器/阿里云产品折扣以及阿里云技术服务等，请您直接联系本站客服,阿里云代理商凯铧互联为您提供一对一服务。 阿里云代理商凯铧互联会为您提供专业全面的技术服务，同时还能为您提供阿里云产品购买的专属折扣优惠。通过凯铧互联购买可以获得折上折优惠！若您需要帮助可以直接联系我方客服，阿里云代理商凯铧互联专业技术团队为您提供全面便捷专业的7×24技术服务。 电话专线：136-5130-9831，QQ:3398234753。
凯铧互联已为大批中小科技企业的创业创新活动提供了免费的技术培训服务，凯铧互联的核心优势如下：
1、一对一的客户经理服务：专业的上云架构咨询与指导、完整的售前支持与解决方案、及时的售后支持
2、云运维服务专家：上云迁移环境搭建服务、云计算相关培训、一站式运维服务
3、全面的ISV.SI能力：提供包括云基础资源+ISV.SI服务在内的一体化服务
4、选择我们的服务，我们将成立以1名服务经理为组长的服务小组，现场技术人员一主一备，长期稳定。
作为阿里云代理的凯铧互联建立有一支高素质的专业技术队伍支撑阿里云相关业务，现有一名阿里认证架构师ACE、五名阿里认证工程师ACP，随时响应客户的服务需求，服务范围已覆盖东北、华北、西北、华中等地多座城市，并为全国多家上市公司和大型集团的上云项目提供了从咨询、设计、采购到实施的一体化综合服务。按照阿里云官网解释其就是“由阿里云官方授仅的本地服务的4S店“，业务可以覆盖全国范围。
说明：本站的技术类文章，均为内部学习交流使用，并不能代表产品厂家，或者是第三方的观点。非专业技术类人员，请勿对云服务器等设备进行操作，以免造成设备不可使用或数据丢失。同时凯铧互联小编建议用户一定要定期对云服务器等数据进行备份保存！
北京凯铧互联科技有限公司（简称凯铧互联）由多名前阿里云资深技术专家创立,核心员工来自阿里巴巴、腾讯等,作为阿里云、腾讯云、华为云、天翼云、百度智能云重要的合作伙伴,专注于为企业用户提供云计算及云计算的解决方案。阿里云、腾讯云、华为云、天翼云、百度智能云优惠购买专线：158-0160-3153（微信同步）