WAF 能防什么不能防什么

WAF（Web Application Firewall，Web 应用防火墙）常被描绘成网站安全的万能盾牌，这个预期需要校准。它有明确的防守范围，也有明确的盲区，认清边界才能把它放在正确的位置上。 能防的部分集中在常见 Web 攻击。SQL 注入与 XSS 这类带有明确特征的模式，WAF 通过规则库在请求到达应用之前识别并拦截；扫描器与爆破工具的高频请求、明显携带攻击载荷的参数，也在覆盖范围内；对 CC 攻击，WAF 可以按 IP、会话、URL 做频率限制，配合验证码把脚本流量筛出去。规则库由服务商持续维护，用户侧基本不用操心更新，这也是托管 WAF 相对自建方案省心的地方。对多数网站来说，这些恰好是日常挨打最多的部分，所以 WAF 的投入是划算的。 不能防的部分同样要说清。其一，零日漏洞：规则基于已知特征，新爆出的漏洞在规则更新前存在空窗，这段时间 WAF 帮不上忙。其二，业务逻辑漏洞：越权访问、支付金额篡改这类问题出在代码逻辑里，请求本身看起来完全正常，规则无从下手。其三，大流量 DDoS：WAF 处理的是应用层请求，攻击流量在到达它之前就可能把带宽打满。四层的流量需要交给高防清洗，例如高防云服务器在入口完成清洗，WAF 再处理回注后的应用层请求，两者是分工关系，不是替代关系。其四，已入侵的后门：WAF 防的是外部攻击，机器上已经存在的 webshell、被篡改的文件，不归它管，需要靠定期查杀与文件校验。 结论是分层防守：高防清洗挡四层流量攻击，WAF 挡常见应用层攻击，代码审计与权限控制补上逻辑漏洞，主机加固守住最后一层。每一层都有自己的职责，也都有够不着的角落。把 WAF 当成其中的关键一环，而不是全部指望，出了问题才知道该查哪一层。