AWS WAF 规则定制：基于 SQL 注入特征（union select）的自定义规则编写

在 Web 应用安全中，SQL 注入是一种常见攻击手段，攻击者通过在输入中注入恶意 SQL 代码来操纵数据库。其中，“union select” 是 SQL 注入的典型特征，用于合并查询结果以窃取数据。AWS WAF（Web Application Firewall）允许您创建自定义规则来检测和阻止此类攻击。以下我将逐步指导您如何基于“union select”特征编写自定义规则，确保规则结构清晰、有效且可靠。

步骤 1: 理解规则逻辑

• 攻击特征分析：“union select” 在 SQL 注入中常出现在查询字符串、请求体或头部中。攻击者可能使用变体（如大小写变化或空格），因此规则需使用正则表达式进行灵活匹配。
• 正则表达式设计：核心模式为 $(\text{?i})union\s+select$，其中：
  • $(\text{?i})$ 表示不区分大小写。
  • $\s+$ 匹配一个或多个空格（包括制表符或换行）。
  • 这能覆盖“Union Select”、“UNION SELECT”等变体。
• AWS WAF 组件：规则基于 RegexMatchStatement，匹配请求中的特定部分（如 URI、查询字符串或请求体）。

步骤 2: 创建自定义规则（在 AWS 控制台操作）

1. 登录 AWS 控制台：访问 AWS WAF 服务。
2. 导航到 Web ACL：选择您的 Web ACL 或创建一个新。
3. 添加自定义规则：
   • 在规则编辑器中，选择“添加规则” > “自定义规则”。
   • 设置规则名称（如 “SQL-Injection-Union-Select-Block”）。
   • 设置优先级（例如 10，确保它优先于其他规则）。
   • 选择动作：建议设为“Block”以直接阻止攻击流量。
4. 定义匹配条件：
   • 使用 RegexMatchStatement 匹配“union select”模式。
   • 作用域：推荐匹配请求的“查询字符串”（Query String）或“请求体”（Body），因为 SQL 注入常在此处出现。
   • 正则表达式：输入 $(\text{?i})union\s+select$。
   • 文本转换：应用“URL 解码”或“HTML 实体解码”，以防止攻击者编码绕过。
5. 保存并部署：完成配置后，部署到您的 AWS 资源（如 CloudFront 或 ALB）。

示例规则配置

以下是一个伪代码示例，展示规则的核心逻辑（实际配置在 AWS 控制台完成，无需代码，但此示例便于理解）：

规则名称: SQL-Injection-Union-Select-Block
优先级: 10
动作: Block
匹配条件:
  - 字段: QUERY_STRING 或 BODY
    - 匹配类型: 正则表达式
    - 正则表达式: (?i)union\s+select
    - 文本转换: URL_DECODE

注意事项

• 测试规则：部署前，在“计数”模式下测试规则，避免误报（如合法查询包含“union”）。使用 AWS WAF 的测试工具发送模拟请求。
• 增强安全性：
  • 结合其他 SQL 注入特征（如 “select * from”）创建多条规则。
  • 启用 AWS WAF 托管规则（如 “SQL Injection” 规则集）作为补充。
  • 监控日志：通过 CloudWatch 分析被阻止的请求，优化规则。
• 性能影响：正则表达式匹配可能增加延迟，建议在低流量时段部署和测试。
• 最佳实践：定期更新规则以应对新变体（如添加 $(\text{?i})union\s*select$ 以匹配零空格）。

通过以上步骤，您可以有效防御基于“union select”的 SQL 注入攻击。如果您有特定应用场景，欢迎提供更多细节，我将进一步优化建议！