5-2Web应用防火墙.pptVIP

WEB应用防火墙技术 孙建伟 北京理工大学 计算机网络攻防对抗技术实验室 WAF产品对于WEB服务器三层次防护： 1.事前防护，WEB扫描系统可以检查网站存在的漏洞和缺陷， 不给攻击者可乘之机； 2.事中防护，WEB应用防护系统对经过WAF的各种类型攻击 数据包进行检测和阻断； 3.事后防护，即使前两个阶段没有阻止非法攻击，WEB防篡改 系统也可以检测到网页被篡改，并且进行报警和接管，把负 面影响降低到最小。 WEB应用扫描 主要内容: WAF的部署拓扑 WAF的策略配置 起始URL：填入url地址，表示从哪个文件开始扫描。 扫描范围：若一个URL地址的域名部分包含该关键字，则该URL地址在扫描 范围内。 扫描时间：可以选择已经建立的时间对象。 扫描深度：共有5个级别的深度，表示扫描的链接级数。 扫描线程：也有5个级别。 WAF扫描结果 扫描的结果保存在扫描报表中,下图所示为具有SQL注入漏洞 的扫描报表. WEB应用防护 主要内容: WAF的部署拓扑 SQL注入攻击 在攻击机上使用工具pangolin可以获取到web应用 服务器后台登录的密码 SQL注入攻击 攻击者登录后台发布影响恶劣的言论 WAF的策略配置 WAF上配置应用防护策略可以阻断攻击 WAF防护结果 攻击者在攻击机上用工具不能获取到后台密码 WAF防护结果 WAF阻断攻击