常俊杰

【摘 要】Web2.0使得Web应用更为便利，更大程度的提升了Web的应用功能性，但随之而来也出现了更为多样化的安全漏洞问题。通常来说Web应用安全问题的主要威胁在于用户数据的过滤上，大多数Web应用开发者在应用安全角度的考量相对较少，在这种情况下应用防火墙是较为有效的安全弥补方法。本文对当前Web应用防火墙的技术与研究发展进行分析总结，介绍一般性的应用方法与注意事项，为开发者提供相应的参考意见。

【关键词】Web应用 防火墙 应用层保护 现状分析

一、Web应用防火墙的基本概念与发展现状

Web应用防火墙需理解HTTP/HTTPS协议、分析用户请求数据，实现往返流量的监测和控制，对于目前常见的跨站脚本攻击、SQL注入攻击、命令注入攻击、cookie/seesion劫持、参数篡改、缓冲溢出攻击、日志篡改、应用平台漏洞攻击、DDOS攻击、HTTPS类攻击等攻击行为都应有良好的防护效果。

从现有的一些研究成果来看，针对Web安全所采用的防御措施仍然不是很理想，一些产品只是从传统的入侵防御系统（IPS）增加深度包过滤措施。由于Web安全的特殊性，各种字符集和编码方案很多，大多数IPS是无法对报文编码做多重转换的，所以这将导致攻击者只需构建诸如转换编码、拼接攻击语句、大小写变换等数据包就可绕过输入检查而直接提交给应用程序，轻易绕过这些安全措施。

二、Web应用安全威胁的常见方式及防护建议

（一）Web应用安全威胁类型及基本应对方案

就目前Web应用主流的攻击方式来看，无非注入式攻击、跨站攻击、CSRF攻击以及DDOS等，这类攻击相对而言都已经有较为成熟的防御措施。……