SQL注入与XSS是威胁Web应用安全的高频漏洞。部署Web应用防火墙（WAF），是整体防御体系中识别与拦截此类攻击的关键组件。其核心在于对输入输出流量进行深度检测与过滤。下文将具体阐述相关的防护配置与策略。

一、理解SQL注入与XSS漏洞

SQL注入是指攻击者通过在应用程序的输入字段中添加恶意的SQL代码，从而绕过应用程序的验证机制，非法访问、修改或删除数据库中的数据。例如，在一个登录表单中，攻击者可能会输入类似“' OR '1'='1”这样的语句，使得原本的SQL查询条件始终为真，进而绕过登录验证。

XSS（跨站脚本攻击）则是攻击者通过在网页中注入恶意脚本，当用户访问该网页时，脚本会在用户的浏览器中执行，从而窃取用户的敏感信息，如Cookie、会话令牌等。常见的XSS攻击方式包括反射型XSS和存储型XSS。反射型XSS通常是通过URL参数注入恶意脚本，而存储型XSS则是将恶意脚本存储在服务器端，当其他用户访问包含该脚本的页面时就会受到攻击。

二、WAF的工作原理

WAF位于Web应用程序和客户端之间，它可以对进入和离开Web应用程序的HTTP/HTTPS流量进行监控和过滤。WAF通过多种方式来检测和阻止恶意请求，主要包括规则匹配、异常检测和机器学习等。

规则匹配是WAF最常用的检测方式，它基于预定义的规则集来判断请求是否为恶意请求。这些规则可以是简单的字符串匹配，也可以是复杂的正则表达式匹配。例如，WAF可以设置规则来检测是否包含常见的SQL注入关键字，如“SELECT”、“UPDATE”、“DELETE”等。

异常检测则是通过分析请求的行为模式来判断是否存在异常。WAF会学习正常请求的特征，如请求的频率、来源IP地址、请求的参数等，当发现某个请求与正常模式有较大偏差时，就会将其视为可疑请求。

机器学习是一种更为智能的检测方式，它可以通过对大量的正常和恶意请求数据进行学习，自动发现新的攻击模式。机器学习算法可以不断地优化和调整检测模型，以适应不断变化的攻击手段。

三、配置WAF防护SQL注入

1. 启用SQL注入规则集

大多数WAF都提供了预定义的SQL注入规则集，用户可以直接启用这些规则集来防护SQL注入攻击。例如，在ModSecurity WAF中，可以通过以下配置启用SQL注入规则：

SecRuleEngine On
Include /path/to/sql-injection.rules

这里的“sql-injection.rules”是包含SQL注入检测规则的文件，通过“Include”指令将其加载到WAF中。

2. 自定义SQL注入规则

除了使用预定义的规则集，用户还可以根据自己的需求自定义SQL注入规则。自定义规则可以更加精确地检测特定的SQL注入攻击。例如，以下是一个简单的自定义规则，用于检测包含“UNION SELECT”语句的请求：

SecRule ARGS|ARGS_NAMES|REQUEST_HEADERS|REQUEST_URI "@rx (?i)union\s+select" "id:1001,deny,status:403,msg:'SQL injection detected'"

这个规则使用正则表达式“(?i)union\s+select”来匹配请求中的“UNION SELECT”语句，当匹配成功时，会拒绝该请求并返回403状态码。

3. 限制输入长度和类型

为了减少SQL注入的风险，WAF可以对用户输入的长度和类型进行限制。例如，对于一个只允许输入数字的字段，WAF可以设置规则只允许输入数字字符，拒绝包含其他字符的请求。以下是一个限制输入为数字的规则示例：

SecRule ARGS:age "@!rx ^[0-9]+$" "id:1002,deny,status:403,msg:'Invalid input for age field'"

这个规则使用正则表达式“^[0-9]+$”来验证“age”字段的输入是否为数字，如果不是则拒绝该请求。

四、配置WAF防护XSS漏洞

1. 启用XSS规则集

同样，WAF也提供了预定义的XSS规则集，用户可以启用这些规则集来防护XSS攻击。例如，在Nginx WAF中，可以通过以下配置启用XSS规则：

http {
    waf on;
    waf_rule_set xss;
}

这里的“xss”是预定义的XSS规则集，通过“waf_rule_set”指令将其加载到WAF中。

2. 过滤HTML标签和脚本

为了防止XSS攻击，WAF可以对用户输入中的HTML标签和脚本进行过滤。例如，以下规则可以过滤掉所有的HTML标签：

SecRule ARGS|ARGS_NAMES|REQUEST_HEADERS|REQUEST_URI "@rx <[^>]*>" "id:1003,deny,status:403,msg:'HTML tag detected'"

这个规则使用正则表达式“<[^>]*>”来匹配请求中的HTML标签，当匹配成功时，会拒绝该请求。

3. 设置CSP（内容安全策略）

CSP是一种用于防止XSS攻击的安全机制，它可以限制网页可以加载的资源来源。WAF可以通过设置CSP头来实现对网页资源加载的控制。例如，以下是一个简单的CSP头设置：

add_header Content-Security-Policy "default-src'self'; script-src'self'";

这个CSP头规定了网页只能从自身域名加载资源，并且只能执行来自自身域名的脚本，从而有效地防止了外部恶意脚本的注入。

五、WAF的监控和维护

1. 日志监控

WAF会记录所有的请求和检测结果，通过监控WAF的日志可以及时发现潜在的攻击行为。管理员可以定期查看日志，分析攻击的来源、类型和频率，以便及时调整WAF的配置。

2. 规则更新

随着攻击手段的不断变化，WAF的规则集也需要不断更新。管理员应该定期更新WAF的规则集，以确保WAF能够及时检测和阻止新出现的攻击。

3. 性能优化

WAF的配置可能会对Web应用程序的性能产生一定的影响，因此需要对WAF进行性能优化。例如，可以通过调整规则的优先级、减少不必要的规则等方式来提高WAF的处理效率。

六、总结

通过合理配置WAF，可以有效地防护SQL注入与XSS漏洞，保障Web应用程序的安全。在配置WAF时，需要理解SQL注入和XSS漏洞的原理，根据实际情况选择合适的检测方式和规则集，并进行定期的监控和维护。同时，还应该结合其他安全措施，如输入验证、安全编码等，构建多层次的安全防护体系，以应对日益复杂的网络安全威胁。