当前位置：首页 > news >正文

SQL注入防御视角：3种WAF规则如何识别与拦截UNION攻击

news 2026/7/8 20:58:03

SQL注入防御实战：WAF如何精准拦截UNION攻击

1. UNION注入攻击原理与特征分析

UNION注入作为SQL注入攻击中最经典的攻击方式之一，其核心原理是利用SQL语言中的UNION操作符将恶意查询拼接到原始查询中。这种攻击方式之所以能够成功，本质上源于应用程序对用户输入数据缺乏严格的过滤和验证机制。

UNION攻击的三大核心特征：

列数匹配特征：攻击者必须通过ORDER BY或UNION SELECT NULL,NULL...等方式探测出原始查询的列数，确保UNION前后SELECT语句的列数相同。这是UNION攻击的首要条件。
数据类型匹配特征：UNION操作要求前后查询对应列的数据类型兼容。攻击者常通过观察报错信息或使用NULL、1,'a'等通用值来测试各列的数据类型。
信息泄露特征：成功的UNION攻击必然伴随数据库信息的泄露，常见攻击步骤包括：
- 获取数据库版本和用户信息
- 枚举数据库和表结构
- 提取敏感字段内容

-- 典型UNION攻击Payload示例 ?id=1' UNION SELECT 1,concat(user,':',password),3 FROM admin_users--+

注意：现代WAF会重点监控包含information_schema、concat、group_concat等关键字的查询，这些是UNION攻击的标志性特征。

2. WAF防御UNION攻击的三大规则体系

2.1 基于正则表达式的规则匹配

正则表达式规则是WAF最基础的防御手段，通过模式匹配识别恶意Payload。针对UNION攻击，典型规则包括：

规则类型	正则表达式示例	匹配目标	优缺点
UNION语句检测	`/(union.*select)/i`	匹配UNION SELECT组合	误报率低但易被大小写、注释绕过
信息泄露检测	`/(information_schema	schema_name	table_name)/i`
函数调用检测	`/(concat	group_concat	version

# 示例：改进版UNION检测正则（考虑注释和空白符） pattern = re.compile(r'union[\s\/\*]+select', re.IGNORECASE)

绕过案例：

使用UNION/**/SELECT绕过空格过滤
使用UNION%0ASELECT利用换行符绕过
使用UNION(SELECT(1),2)利用括号绕过

2.2 基于语法分析的深度检测

语法分析引擎将输入解析为SQL语法树，实现更精准的威胁识别：

词法分析阶段：
- 标记化处理，识别SQL关键字
- 区分用户输入与SQL语句本体
语法分析阶段：
- 构建抽象语法树(AST)
- 检测异常的UNION查询结构
语义分析阶段：
- 验证查询的合理性
- 识别非常规的信息查询模式

// 伪代码：语法树检测UNION异常 if (query.hasUnion()) { if (unionQuery.accessesInformationSchema()) { blockRequest("可疑的元数据访问"); } if (unionQuery.columnsDifferFromOriginal()) { blockRequest("UNION列类型不匹配"); } }

技术优势：

能识别经过编码、混淆的恶意输入
可检测分段注入和延时注入
对正常业务查询影响小

2.3 基于行为分析的智能防护

行为分析规则通过机器学习模型建立正常查询基线，检测异常行为：

特征维度：

查询结构特征：UNION查询的出现频率、位置
元数据访问特征：information_schema的访问模式
结果集特征：返回数据的类型、长度分布

防御策略：

学习阶段：建立正常查询行为画像
检测阶段：实时计算查询异常分数
响应阶段：动态调整防护强度

实践建议：行为分析应与规则引擎协同工作，初期可采用"学习模式"观察业务流量，避免误拦截合法查询。

3. 三种WAF规则的对比与实战配置

下表对比了不同WAF规则在防御UNION攻击时的表现：

规则类型	检测精度	性能开销	绕过难度	适用场景	配置建议
正则表达式	中	低	低	中小型网站	作为基础防护层
语法分析	高	中	中	关键业务系统	结合白名单使用
行为分析	极高	高	高	金融等高安全需求场景	需2-4周学习期

Cloud WAF配置示例（以某云产品为例）：

{ "rule_name": "prevent_union_injection", "action": "block", "conditions": [ { "type": "regex", "target": "query_string", "pattern": "union[\\s\\/\\*]+select" }, { "type": "token", "target": "sql_keywords", "value": ["information_schema", "schema_name"], "threshold": 2 } ], "advanced": { "syntax_analysis": true, "behavior_monitoring": true } }

4. 防御体系的进阶优化策略

4.1 规则组合与分层防御

有效的WAF配置应采用分层防御策略：

第一层：基础规则过滤
- 拦截明显的恶意模式
- 处理简单的注入尝试
第二层：语义分析
- 检测逻辑异常的查询
- 识别敏感操作序列
第三层：行为分析
- 发现低频异常行为
- 防护零日攻击

4.2 绕过手法的针对性防护

针对攻击者的常见绕过技术，防御方应采取相应措施：

绕过技术	防护方案	实施要点
大小写变异	规范化处理	统一转为小写再检测
注释干扰	注释剥离	移除/**/等注释内容
编码混淆	多重解码	处理URL/HTML/Unicode编码
分段注入	请求重组	合并分块传输的请求

# 请求规范化处理示例 def normalize_input(input_str): # 移除注释 input_str = re.sub(r'\/\*.*?\*\/', '', input_str, flags=re.DOTALL) # 统一大小写 input_str = input_str.lower() # URL解码 input_str = urllib.parse.unquote(input_str) return input_str