-
SQL注入（SQL Injection）：
- 描述：攻击者在Web表单或URL参数中插入恶意SQL代码，企图操纵数据库。
- 防御：WAF通过过滤输入数据中的危险字符和命令，识别并阻止SQL注入尝试。
-
跨站脚本攻击（XSS，Cross-Site Scripting）：
- 描述：攻击者注入恶意脚本到网页中，当用户浏览这些页面时，脚本会在用户的浏览器中执行。
- 防御：WAF可以检测并阻止XSS攻击，通过清理请求中的潜在有害内容。
-
跨站请求伪造（CSRF，Cross-Site Request Forgery）：
- 描述：攻击者通过伪装成合法用户发起请求，诱使用户执行非预期的操作。
- 防御：WAF通过验证请求的来源（如Referer头）或检查CSRF令牌来拦截伪造的会话请求。
-
文件包含（LFI/RFI，File Inclusion）：
- 描述：攻击者通过在Web应用程序中包含恶意文件，从而执行恶意代码或访问敏感信息。
- 防御：WAF可以阻止非法文件包含请求，防止恶意文件被加载到应用程序中。
-
目录遍历（Directory Traversal）：
- 描述：攻击者试图访问不应该公开的文件或目录。
- 防御：WAF可以识别并阻止目录遍历攻击，确保只有授权路径被访问。
-
命令注入（Command Injection）：
- 描述：攻击者在应用程序接收的输入中注入命令，企图执行操作系统命令。
- 防御：WAF能够检测并阻止命令注入攻击，防止恶意命令被执行。
-
缓冲区溢出（Buffer Overflow）：
- 描述：攻击者利用应用程序中的缓冲区溢出漏洞，覆盖内存区域中的数据。
- 防御：虽然WAF主要针对Web应用层攻击，但对于某些特定情况下的缓冲区溢出也可以进行一定的防护。
-
零日攻击（Zero-Day Exploits）：
- 描述：攻击者利用尚未公开的安全漏洞进行攻击。
- 防御：一些高级WAF具有行为分析和异常检测功能，可以在一定程度上发现并阻止这类攻击。
-
其他Web应用攻击：
- 包括但不限于不安全的直接对象引用、安全配置错误、敏感信息泄露等。
