Apache 防止 SQL 注入的请求过滤规则设计

月夜之吻

发布时间：2025-06-23 14:44:02

220人浏览过

来源于php中文网

原创

防止 sql 注入的核心在于对用户输入进行严格验证和过滤，可通过 apache 配置实现初步防御。1. 使用 mod_rewrite 模块禁用危险字符和函数，如 union、select、insert 等关键字，并通过 rewritecond 和 rewriterule 设置规则拒绝非法请求；2. 设置参数长度限制，通过 limitrequestfields 和 limitrequestfieldsize 控制请求字段数量与大小，减少攻击面；3. 实施 url 编码检查，在应用层解码并验证输入，避免攻击者绕过过滤；4. 开启日志记录功能，通过 errorlog 记录被拒绝的请求信息以供分析排查；5. 采用白名单策略，仅允许符合特定格式的输入，提升安全性；6. 结合 waf 提供更高级防御，apache 规则可作为其前置过滤层，减轻 waf 负担；7. 对 post 请求使用 mod_security 模块进行内容检测与过滤，增强全面防护能力；8. 为避免误判，应精细化编写规则、定期分析日志、灰度发布新规则并收集用户反馈；最终还需结合输入验证、参数化查询、最小权限原则及定期安全审计等多层策略，才能有效抵御 sql 注入攻击。

Apache 防止 SQL 注入的请求过滤规则设计

防止 SQL 注入，核心在于对用户输入进行严格的验证和过滤。Apache 作为 Web 服务器，可以在请求到达应用程序之前进行初步的防御。设计有效的规则，需要兼顾安全性和可用性，避免误伤正常请求。

解决方案

禁用危险字符和函数： 在 Apache 的配置文件（例如 .htaccess 或 httpd.conf）中使用 mod_rewrite 模块，可以设置规则来拒绝包含特定字符或函数的请求。例如，可以禁止 union, select, insert, update, delete, drop, truncate, ;, -- 等关键字。
```
RewriteEngine On
RewriteCond %{QUERY_STRING} (union|select|insert|update|delete|drop|truncate|;|\-\-) [NC,OR]
RewriteCond %{REQUEST_URI} (union|select|insert|update|delete|drop|truncate|;|\-\-) [NC]
RewriteRule .* - [F,L]
```
- RewriteEngine On: 启用重写引擎。
- RewriteCond %{QUERY_STRING} ...: 检查查询字符串中是否包含危险字符。
- RewriteCond %{REQUEST_URI} ...: 检查 URI 中是否包含危险字符。
- [NC]: 不区分大小写。
- [OR]: 逻辑或，只要满足一个条件就执行规则。
- RewriteRule .* - [F,L]: 如果满足条件，则返回 403 Forbidden 错误。 [F] 表示 Forbidden，[L] 表示 Last rule，停止后续规则的执行。
参数长度限制： SQL 注入攻击通常需要较长的输入字符串。可以设置参数长度限制，超出长度的请求直接拒绝。
```
LimitRequestFields 50
LimitRequestFieldSize 256
```
- LimitRequestFields 50: 限制请求头字段的数量为 50。
- LimitRequestFieldSize 256: 限制请求头字段的大小为 256 字节。这并不能直接防止 SQL 注入，但可以限制攻击者发送大量数据的可能性。
URL 编码检查： 攻击者可能会使用 URL 编码绕过简单的字符过滤。需要检查解码后的字符串，而不是直接检查编码后的字符串。 Apache 本身不直接提供解码功能，但可以结合其他模块或脚本来实现。一个更有效的做法是在应用程序层面进行解码和验证。
日志记录： 记录所有被拒绝的请求，方便后续分析和排查问题。
```
ErrorLog "logs/error_log"
```
确保错误日志记录了足够的信息，例如请求的 URI、查询字符串、客户端 IP 地址等。
白名单策略： 比起黑名单策略，白名单策略更安全。只允许特定格式的输入，拒绝其他所有输入。但这通常需要对应用程序的输入进行深入了解，实施起来比较复杂。

迅易年度企业管理系统开源完整版
系统功能强大、操作便捷并具有高度延续开发的内容与知识管理系统，并可集合系统强大的新闻、产品、下载、人才、留言、搜索引擎优化、等功能模块，为企业部门提供一个简单、易用、开放、可扩展的企业信息门户平台或电子商务运行平台。开发人员为脆弱页面专门设计了防刷新系统，自动阻止恶意访问和攻击；安全检查应用于每一处代码中，每个提交到系统查询语句中的变量都经过过滤，可自动屏蔽恶意攻击代码，从而全面防止SQL注入攻击

下载

Apache 规则如何与 WAF 配合？

Web 应用防火墙（WAF）通常提供更高级的 SQL 注入防御功能，例如：

基于规则的检测： WAF 内置了大量的 SQL 注入规则，可以检测各种攻击模式。
行为分析： WAF 可以分析用户的行为，识别异常请求。
机器学习： 一些 WAF 使用机器学习算法来识别新的攻击模式。

Apache 的规则可以作为 WAF 的补充，在请求到达 WAF 之前进行初步的过滤。例如，可以先使用 Apache 规则拒绝包含明显危险字符的请求，然后再将剩余的请求交给 WAF 进行更深入的分析。这样可以减轻 WAF 的负担，提高整体的防御能力。

如何处理 POST 请求中的 SQL 注入？

mod_rewrite 主要处理 URL 和查询字符串，对于 POST 请求的内容，它可能无法直接处理。对于 POST 请求，需要在应用程序层面进行更严格的验证和过滤。可以使用 Apache 的 mod_security 模块，它能够检查 POST 请求的内容，并根据配置的规则进行过滤。 mod_security 提供了更强大的功能，可以检测和阻止各种 Web 攻击，包括 SQL 注入、XSS 等。

如何避免误判？

过度严格的规则可能会导致误判，影响正常用户的使用。为了避免误判，可以采取以下措施：