在当今数字化时代，Web应用面临着各种各样的安全威胁，如SQL注入、跨站脚本攻击（XSS）等。Web应用防火墙（WAF）作为保障Web应用安全的重要工具，其工作机制十分复杂。下面将对Web应用防火墙主要工作的层级进行全面揭秘。

第一层：网络层防护

网络层是Web应用防火墙工作的最基础层级。在这一层，WAF主要关注网络数据包的基本信息，如源IP地址、目的IP地址、端口号等。它可以根据预先设定的规则，对这些数据包进行过滤。例如，通过配置黑名单，阻止来自已知恶意IP地址的访问请求。

以常见的DDoS（分布式拒绝服务）攻击为例，攻击者会利用大量的僵尸网络向目标Web应用发送海量的请求，使服务器资源耗尽而无法正常响应合法请求。WAF可以通过检测异常的流量模式，如短时间内来自同一IP地址的大量请求，对这些异常流量进行拦截。

以下是一个简单的Python代码示例，模拟网络层对特定IP地址的访问过滤：

blocked_ips = ['192.168.1.100', '10.0.0.5']

def check_ip(ip):
    if ip in blocked_ips:
        return False
    return True

# 模拟接收到的请求IP
request_ip = '192.168.1.100'
if check_ip(request_ip):
    print("允许访问")
else:
    print("拒绝访问")

第二层：传输层防护

传输层主要负责端到端的通信，常见的协议有TCP和UDP。WAF在传输层会检查数据包的传输层协议相关信息，如TCP的序列号、确认号、标志位等。

例如，对于TCP SYN Flood攻击，攻击者会发送大量的TCP SYN包，但不完成三次握手过程，导致服务器资源被耗尽。WAF可以通过检测异常的SYN包数量和频率，对这种攻击进行防范。它会设置一个合理的SYN包阈值，当在一定时间内接收到的SYN包数量超过这个阈值时，就判定为可能的攻击，并采取相应的措施，如丢弃多余的SYN包。

以下是一个简单的伪代码示例，用于检测TCP SYN Flood攻击：

syn_count = 0
threshold = 100
time_window = 60  # 时间窗口为60秒

def check_syn_flood(packet):
    global syn_count
    if packet.is_syn():
        syn_count += 1
        if syn_count > threshold:
            return True
    return False

# 模拟接收到的数据包
packet = Packet()
if check_syn_flood(packet):
    print("检测到TCP SYN Flood攻击，进行拦截")

第三层：会话层防护

会话层负责建立、维护和管理应用程序之间的会话。WAF在会话层会跟踪用户的会话状态，确保会话的合法性和安全性。

例如，防止会话劫持攻击。攻击者可能会窃取用户的会话ID，然后利用这个会话ID冒充合法用户进行操作。WAF可以通过检查会话ID的来源、使用频率等信息，判断会话是否存在异常。如果发现某个会话ID在短时间内从不同的IP地址进行访问，就可能判定为会话劫持，并终止该会话。

以下是一个简单的会话管理示例代码：

session_ids = {}

def create_session(user_id):
    import uuid
    session_id = str(uuid.uuid4())
    session_ids[session_id] = {
        'user_id': user_id,
        'ip': get_client_ip(),
        'last_access': time.time()
    }
    return session_id

def check_session(session_id, ip):
    if session_id in session_ids:
        session = session_ids[session_id]
        if session['ip'] != ip:
            del session_ids[session_id]
            return False
        session['last_access'] = time.time()
        return True
    return False

# 模拟用户登录创建会话
user_id = 1
session_id = create_session(user_id)
client_ip = get_client_ip()
if check_session(session_id, client_ip):
    print("会话验证通过")
else:
    print("会话验证失败，可能存在会话劫持")

第四层：表示层防护

表示层主要负责数据的表示和转换，如加密、压缩等。WAF在表示层会检查数据的编码格式和加密情况。

例如，对于一些采用加密传输的Web应用，WAF会确保加密算法的正确性和密钥的安全性。如果发现使用了不安全的加密算法，或者密钥被泄露的风险，WAF会发出警报并采取相应的措施。同时，WAF也会检查数据的编码格式是否符合规范，防止因编码问题导致的安全漏洞，如UTF-7编码注入攻击。

以下是一个简单的检查数据编码格式的示例代码：

import chardet

def check_encoding(data):
    result = chardet.detect(data)
    if result['encoding'] not in ['UTF-8', 'ASCII']:
        print(f"检测到异常编码格式：{result['encoding']}")
        return False
    return True

# 模拟接收到的数据
data = b"Hello, World!"
if check_encoding(data):
    print("数据编码格式正常")

第五层：应用层防护

应用层是Web应用防火墙工作的核心层级，它直接针对Web应用的业务逻辑和功能进行防护。在这一层，WAF会检查HTTP请求和响应的内容，包括URL、请求方法、请求参数、响应状态码等。

常见的应用层攻击如SQL注入、跨站脚本攻击（XSS）等，WAF会通过多种技术手段进行防范。对于SQL注入攻击，WAF会分析请求参数是否包含恶意的SQL语句。它可以采用正则表达式匹配、语法分析等方法，检测是否存在SQL关键字的异常组合。例如，如果发现请求参数中包含“' OR 1=1 --”这样的典型SQL注入语句，WAF会立即拦截该请求。

对于跨站脚本攻击，WAF会检查请求和响应中的HTML和JavaScript代码，防止攻击者注入恶意脚本。它可以对特殊字符进行过滤和转义，确保用户输入的内容不会被当作代码执行。

以下是一个简单的SQL注入检测示例代码：

import re

sql_keywords = ['SELECT', 'INSERT', 'UPDATE', 'DELETE', 'DROP']

def check_sql_injection(param):
    for keyword in sql_keywords:
        pattern = re.compile(keyword, re.IGNORECASE)
        if pattern.search(param):
            return True
    return False

# 模拟接收到的请求参数
param = "username=' OR 1=1 --"
if check_sql_injection(param):
    print("检测到SQL注入攻击，进行拦截")

综上所述，Web应用防火墙通过网络层、传输层、会话层、表示层和应用层的多层防护机制，全面保障Web应用的安全。每一层都有其独特的防护重点和技术手段，它们相互协作，共同抵御各种安全威胁，为Web应用的稳定运行提供了坚实的保障。随着网络安全形势的不断变化，Web应用防火墙也需要不断升级和优化，以适应新的攻击方式和安全需求。