防止 sql 注入的核心在于對用戶輸入進行嚴格驗證和過濾，可通過 apache 配置實現初步防御。1. 使用 mod_rewrite 模塊禁用危險字符和函數，如 union、select、insert 等關鍵字，并通過 rewritecond 和 rewriterule 設置規則拒絕非法請求；2. 設置參數長度限制，通過 limitrequestfields 和 limitrequestfieldsize 控制請求字段數量與大小，減少攻擊面；3. 實施 url 編碼檢查，在應用層解碼并驗證輸入，避免攻擊者繞過過濾；4. 開啟日志記錄功能，通過 errorlog 記錄被拒絕的請求信息以供分析排查；5. 采用白名單策略，僅允許符合特定格式的輸入，提升安全性；6. 結合 waf 提供更高級防御，apache 規則可作為其前置過濾層，減輕 waf 負擔；7. 對 post 請求使用 mod_security 模塊進行內容檢測與過濾，增強全面防護能力；8. 為避免誤判，應精細化編寫規則、定期分析日志、灰度發布新規則并收集用戶反饋；最終還需結合輸入驗證、參數化查詢、最小權限原則及定期安全審計等多層策略，才能有效抵御 sql 注入攻擊。
防止 SQL 注入，核心在于對用戶輸入進行嚴格的驗證和過濾。Apache 作為 Web 服務器，可以在請求到達應用程序之前進行初步的防御。設計有效的規則，需要兼顧安全性和可用性，避免誤傷正常請求。
解決方案
-
禁用危險字符和函數： 在 Apache 的配置文件（例如 .htaccess 或 httpd.conf）中使用 mod_rewrite 模塊，可以設置規則來拒絕包含特定字符或函數的請求。例如，可以禁止 union, select, insert, update, delete, drop, truncate, ;, — 等關鍵字。
RewriteEngine On RewriteCond %{QUERY_STRING} (union|select|insert|update|delete|drop|truncate|;|--) [NC,OR] RewriteCond %{REQUEST_URI} (union|select|insert|update|delete|drop|truncate|;|--) [NC] RewriteRule .* - [F,L]- RewriteEngine On: 啟用重寫引擎。
- RewriteCond %{QUERY_STRING} …: 檢查查詢字符串中是否包含危險字符。
- RewriteCond %{REQUEST_URI} …: 檢查 URI 中是否包含危險字符。
- [NC]: 不區分大小寫。
- [OR]: 邏輯或，只要滿足一個條件就執行規則。
- RewriteRule .* – [F,L]: 如果滿足條件，則返回 403 Forbidden 錯誤。 [F] 表示 Forbidden，[L] 表示 Last rule，停止后續規則的執行。
-
參數長度限制： SQL 注入攻擊通常需要較長的輸入字符串?？梢栽O置參數長度限制，超出長度的請求直接拒絕。
LimitRequestFields 50 LimitRequestFieldSize 256
- LimitRequestFields 50: 限制請求頭字段的數量為 50。
- LimitRequestFieldSize 256: 限制請求頭字段的大小為 256 字節。這并不能直接防止 SQL 注入，但可以限制攻擊者發送大量數據的可能性。
-
URL 編碼檢查： 攻擊者可能會使用 URL 編碼繞過簡單的字符過濾。需要檢查解碼后的字符串，而不是直接檢查編碼后的字符串。 Apache 本身不直接提供解碼功能，但可以結合其他模塊或腳本來實現。 一個更有效的做法是在應用程序層面進行解碼和驗證。
-
日志記錄： 記錄所有被拒絕的請求，方便后續分析和排查問題。
ErrorLog "logs/error_log"
確保錯誤日志記錄了足夠的信息，例如請求的 URI、查詢字符串、客戶端 IP 地址等。
-
白名單策略： 比起黑名單策略，白名單策略更安全。只允許特定格式的輸入，拒絕其他所有輸入。但這通常需要對應用程序的輸入進行深入了解，實施起來比較復雜。
Apache 規則如何與 WAF 配合？
Web 應用防火墻（WAF）通常提供更高級的 SQL 注入防御功能，例如：
- 基于規則的檢測： WAF 內置了大量的 SQL 注入規則，可以檢測各種攻擊模式。
- 行為分析： WAF 可以分析用戶的行為，識別異常請求。
- 機器學習： 一些 WAF 使用機器學習算法來識別新的攻擊模式。
Apache 的規則可以作為 WAF 的補充，在請求到達 WAF 之前進行初步的過濾。例如，可以先使用 Apache 規則拒絕包含明顯危險字符的請求，然后再將剩余的請求交給 WAF 進行更深入的分析。這樣可以減輕 WAF 的負擔，提高整體的防御能力。
如何處理 POST 請求中的 SQL 注入？
mod_rewrite 主要處理 URL 和查詢字符串，對于 POST 請求的內容，它可能無法直接處理。對于 POST 請求，需要在應用程序層面進行更嚴格的驗證和過濾。 可以使用 Apache 的 mod_security 模塊，它能夠檢查 POST 請求的內容，并根據配置的規則進行過濾。 mod_security 提供了更強大的功能，可以檢測和阻止各種 Web 攻擊，包括 SQL 注入、xss 等。
如何避免誤判？
過度嚴格的規則可能會導致誤判，影響正常用戶的使用。為了避免誤判，可以采取以下措施：
- 精細化規則： 盡量編寫精細化的規則，只攔截確實存在風險的請求。
- 日志分析： 定期分析日志，檢查是否存在誤判的情況，并及時調整規則。
- 灰度發布： 在生產環境上線新的規則之前，先在測試環境進行充分的測試。
- 用戶反饋： 允許用戶報告誤判的情況，并及時處理。
記住，沒有任何一種方法可以完全防止 SQL 注入。 最佳實踐是采用多層防御策略，包括：
- 輸入驗證： 在客戶端和服務器端都進行輸入驗證。
- 參數化查詢： 使用參數化查詢或預編譯語句，避免將用戶輸入直接拼接到 SQL 語句中。
- 最小權限原則： 數據庫用戶只授予必要的權限。
- 定期安全審計： 定期進行安全審計，發現潛在的漏洞。
