多哈服务器 Web 应用安全防护实战：WAF 规则配置

Web 应用是攻击的主要目标。本文分享多哈服务器 WAF 安全防护实战。

常见 Web 攻击 1) SQL 注入：通过输入注入 SQL 语句 2) XSS：跨站脚本，注入恶意 JS 3) CSRF：跨站请求伪造 4) 文件上传漏洞：上传 webshell 5) 命令注入：执行系统命令 6) 路径遍历：访问敏感文件

WAF 部署架构 1) 边缘 WAF：CDN 厂商提供的 WAF 2) 反向代理 WAF：Nginx + ModSecurity 3) 云 WAF：云厂商托管 WAF 4) 建议：边缘 WAF + 本地 WAF 双层防护

ModSecurity 配置 1) 安装：Nginx + ModSecurity 模块 2) 规则集：OWASP CRS（核心规则集） 3) 规则调优：减少误报，提升准确率 4) 日志：记录所有拦截请求 5) 告警：异常攻击告警

核心防护规则 1) SQL 注入防护：检测 SQL 关键字和特殊字符 2) XSS 防护：检测 script、event handler 等 3) 文件上传限制：限制文件类型和大小 4) 请求频率限制：防止暴力破解和 CC 5) IP 黑白名单：封禁恶意 IP

规则调优 1) 误报分析：检查被拦截的正常请求 2) 白名单：对正常接口放宽规则 3) 自定义规则：针对业务特征写规则 4) 分级防护：重要接口严格，普通接口宽松 5) 灰度上线：先观察再拦截

攻击案例与防御 案例一：SQL 注入 表现：日志出现 ' OR 1=1 -- 等特征。 防御：参数化查询 + WAF SQL 注入规则。

案例二：XSS 表现：日志出现 <script>、onerror= 等。 防御：输入过滤 + 输出转义 + WAF XSS 规则。

案例三：文件上传 webshell 表现：上传 .php 文件，被执行。 防御：限制文件类型 + 重命名 + 独立目录 + 禁止执行。

案例四：CC 攻击 表现：某接口被大量请求。 防御：速率限制 + 验证码 + IP 封禁 + 缓存。

案例五：扫描器探测 表现：大量 404，扫描敏感路径。 防御：速率限制 + 黑名单 + WAF 扫描器规则。

WAF 监控 1) 拦截次数和类型统计 2) 攻击来源 IP 和地理分布 3) 误报率监控 4) 规则命中排行 5) 实时告警

OWASP CRS 配置要点 1) Paranoia Level：1-4 级，级别越高越严格 2) Anomaly Score：累计评分，超过阈值拦截 3) 规则排除：针对误报接口排除规则 4) 自定义规则：补充业务相关规则

注意事项 1) WAF 不是万能的，代码安全同样重要 2) 规则误报会影响正常业务，需要调优 3) 0day 攻击可能绕过 WAF，需要及时更新规则 4) 定期审计 WAF 日志，发现新攻击手法 5) 配合其他安全措施（输入验证、权限控制等）

总结：WAF 是 Web 应用安全的重要防线。ModSecurity + OWASP CRS 是开源方案，配合规则调优和持续监控，可以有效防御常见 Web 攻击。