1.WAF就是Web应用程序防火墙的缩写。2.主要功能：防范对Web应用程序的常见攻击，包括

但不限于sqli、xss、csrf、蛮力解析、文件上传、rfi等。您还可以防止对Web开发框架的攻击

，例如structs攻击和php的pagemagick攻击。大多数实现原则都是预先配置的攻击特性，捕获

客户端请求服务器的http、https通信量，并进行定期匹配。在符合规则后阻拦连接。3.重点职

能之一：支持自学模式。waf可以根据各种专利技术、提取技术和模型分析普通用户请求Web

应用的流程，使模型能够自动创建白名单规则。不在白名单中的请求被视为攻击和断开连接。

 

 

hightfunctionbis义规则。waf可以分析http消息的所有字段并创建自定义规则。例如，http头中

的用户代理包含一个关键字，这个关键字被视为攻击。例如，邮件表单中的参数只允许提交

11位纯数字内容（手机号码）。违反规则的提交将被阻止。无法实现的功能：无法防御病毒

和蠕虫。无法防御缓冲区溢出攻击。常见部署：最常见的用法是反向代理模式，类似于ngni

x部署模式。在nat映射之后，指定服务器的流被引入到waf并处理到服务器。其次，通用的

部署模式是透明代理，不需要以透明的方式执行nat和反向代理。

 

 

 

扩展：可以实现一些应用程序交付能力，如负载平衡、基于内容的路由。waf是Web应用程序

防火墙，其主要功能是尝试，如sql注入、xss、路径遍历、窃取敏感数据、cc攻击等。

 

 

一般防火墙分类：
 

1.需要在每个目标服务器上部署单机waf，如模型化；2.自建waf，更多是代理云管理模式，

代理更多是基于nginxla实现，需要在每个目标服务器上部署，云管理的实现更加多样化；

3.使用第三方waf服务，通常是反向代理waf，通常集成cdn和waf，缺点是：(1)如果需要

支持https，必须交出自己的私有证书密钥；(2)流量与其他第三方waf提供商的流量混合，

如果其他客户有恶意行为，则被搜索引擎封锁；4.云提供商提供的网络级waf通常是透明

的；缺点是：如果需要支持https，则需要交出自己的私钥证书。5.硬件网络层waf，一般

透明实现；缺点：如果需要支持https，则需要交出自己的私钥证书。6.应用程序网关（

ApplicationGateway，ApplicationGateway）是waf服务的缺点，通常集成证书管理、ht

tps、waf等功能。例如，janusec应用程序网关，功能：Web安全防御从waf到应用程序

网关。