SQL注入防御实战：WAF如何精准拦截UNION攻击
1. UNION注入攻击原理与特征分析
UNION注入作为SQL注入攻击中最经典的攻击方式之一，其核心原理是利用SQL语言中的UNION操作符将恶意查询拼接到原始查询中。这种攻击方式之所以能够成功，本质上源于应用程序对用户输入数据缺乏严格的过滤和验证机制。
UNION攻击的三大核心特征：
列数匹配特征：攻击者必须通过ORDER BY或UNION SELECT NULL,NULL...等方式探测出原始查询的列数，确保UNION前后SELECT语句的列数相同。这是UNION攻击的首要条件。
数据类型匹配特征：UNION操作要求前后查询对应列的数据类型兼容。攻击者常通过观察报错信息或使用NULL、1,'a'等通用值来测试各列的数据类型。
信息泄露特征：成功的UNION攻击必然伴随数据库信息的泄露，常见攻击步骤包括：
- 获取数据库版本和用户信息
- 枚举数据库和表结构
- 提取敏感字段内容
-- 典型UNION攻击Payload示例 ?id=1' UNION SELECT 1,concat(user,':',password),3 FROM admin_users--+注意：现代WAF会重点监控包含information_schema、concat、group_concat等关键字的查询，这些是UNION攻击的标志性特征。
2. WAF防御UNION攻击的三大规则体系
2.1 基于正则表达式的规则匹配
正则表达式规则是WAF最基础的防御手段，通过模式匹配识别恶意Payload。针对UNION攻击，典型规则包括：
| 规则类型 | 正则表达式示例 | 匹配目标 | 优缺点 |
|---|---|---|---|
| UNION语句检测 | /(union.*select)/i | 匹配UNION SELECT组合 | 误报率低但易被大小写、注释绕过 |
| 信息泄露检测 | `/(information_schema | schema_name | table_name)/i` |
| 函数调用检测 | `/(concat | group_concat | version |
# 示例：改进版UNION检测正则（考虑注释和空白符） pattern = re.compile(r'union[\s\/\*]+select', re.IGNORECASE)绕过案例：
- 使用
UNION/**/SELECT绕过空格过滤 - 使用
UNION%0ASELECT利用换行符绕过 - 使用
UNION(SELECT(1),2)利用括号绕过
2.2 基于语法分析的深度检测
语法分析引擎将输入解析为SQL语法树，实现更精准的威胁识别：
词法分析阶段：
- 标记化处理，识别SQL关键字
- 区分用户输入与SQL语句本体
语法分析阶段：
- 构建抽象语法树(AST)
- 检测异常的UNION查询结构
语义分析阶段：
- 验证查询的合理性
- 识别非常规的信息查询模式
// 伪代码：语法树检测UNION异常 if (query.hasUnion()) { if (unionQuery.accessesInformationSchema()) { blockRequest("可疑的元数据访问"); } if (unionQuery.columnsDifferFromOriginal()) { blockRequest("UNION列类型不匹配"); } }技术优势：
- 能识别经过编码、混淆的恶意输入
- 可检测分段注入和延时注入
- 对正常业务查询影响小
2.3 基于行为分析的智能防护
行为分析规则通过机器学习模型建立正常查询基线，检测异常行为：
特征维度：
- 查询结构特征：UNION查询的出现频率、位置
- 元数据访问特征：information_schema的访问模式
- 结果集特征：返回数据的类型、长度分布
防御策略：
- 学习阶段：建立正常查询行为画像
- 检测阶段：实时计算查询异常分数
- 响应阶段：动态调整防护强度
实践建议：行为分析应与规则引擎协同工作，初期可采用"学习模式"观察业务流量，避免误拦截合法查询。
3. 三种WAF规则的对比与实战配置
下表对比了不同WAF规则在防御UNION攻击时的表现：
| 规则类型 | 检测精度 | 性能开销 | 绕过难度 | 适用场景 | 配置建议 |
|---|---|---|---|---|---|
| 正则表达式 | 中 | 低 | 低 | 中小型网站 | 作为基础防护层 |
| 语法分析 | 高 | 中 | 中 | 关键业务系统 | 结合白名单使用 |
| 行为分析 | 极高 | 高 | 高 | 金融等高安全需求场景 | 需2-4周学习期 |
Cloud WAF配置示例（以某云产品为例）：
{ "rule_name": "prevent_union_injection", "action": "block", "conditions": [ { "type": "regex", "target": "query_string", "pattern": "union[\\s\\/\\*]+select" }, { "type": "token", "target": "sql_keywords", "value": ["information_schema", "schema_name"], "threshold": 2 } ], "advanced": { "syntax_analysis": true, "behavior_monitoring": true } }4. 防御体系的进阶优化策略
4.1 规则组合与分层防御
有效的WAF配置应采用分层防御策略：
第一层：基础规则过滤
- 拦截明显的恶意模式
- 处理简单的注入尝试
第二层：语义分析
- 检测逻辑异常的查询
- 识别敏感操作序列
第三层：行为分析
- 发现低频异常行为
- 防护零日攻击
4.2 绕过手法的针对性防护
针对攻击者的常见绕过技术，防御方应采取相应措施：
| 绕过技术 | 防护方案 | 实施要点 |
|---|---|---|
| 大小写变异 | 规范化处理 | 统一转为小写再检测 |
| 注释干扰 | 注释剥离 | 移除/**/等注释内容 |
| 编码混淆 | 多重解码 | 处理URL/HTML/Unicode编码 |
| 分段注入 | 请求重组 | 合并分块传输的请求 |
# 请求规范化处理示例 def normalize_input(input_str): # 移除注释 input_str = re.sub(r'\/\*.*?\*\/', '', input_str, flags=re.DOTALL) # 统一大小写 input_str = input_str.lower() # URL解码 input_str = urllib.parse.unquote(input_str) return input_str4.3 防御效果的持续优化
日志分析与规则迭代：
- 定期审计拦截日志
- 分析误报/漏报案例
- 每月更新规则库
压力测试验证：
- 使用SQL注入测试工具验证防护效果
- 模拟高级攻击手法测试防御深度
性能与安全的平衡：
- 对关键API启用深度检测
- 对静态资源放宽检测强度
- 设置合理的QPS阈值
在实际项目中，我们曾遇到一个典型案例：某金融系统虽然部署了WAF，但攻击者通过精心构造的UNION/*!SELECT*/Payload成功绕过防护。根本原因是WAF配置未考虑MySQL特有注释语法。这个教训告诉我们，安全防护必须紧跟技术发展和攻击手法的演变。
)
 agent和组件)