360宝塔网站防火墙：一个技术编辑的宝塔实测手记

上个月我帮朋友排查一个被挂马的WordPress站点，发现攻击者是网站通过一个未打补丁的插件漏洞进来的。服务器日志里密密麻麻的防火扫描请求，看得人头皮发麻。宝塔那时候我就想，网站如果这站一开始就装了360宝塔网站防火墙，防火也许根本不会走到这一步。宝塔

先说这玩意的网站定位——它不是传统意义上的WAF硬件盒子，也不是防火那种需要你抱着厚厚文档啃半天的企业级安全套件。它就是宝塔宝塔面板里一个插件，装上、网站开关一拨、防火规则自动同步，宝塔完事。网站对，防火就这么简单，连我这种懒得看说明书的人都搞定了。

但简单不等于没货。它的核心逻辑是“先拦截，再学习”。网站跑起来之后，它会自动分析正常请求的特征，比如你后台登录的URL、API接口的调用频率、甚至用户提交表单的字段类型。一旦发现有请求偏离了这套“日常行为模型”，立刻拉黑。举个例子，我那个朋友站点被攻击的方式是向后台提交一个伪造的admin登录请求，密码字段塞了长达5000字符的payload——这正常吗？正常人谁会这么干？防火墙瞬间就把这个IP封了，连带把那段请求体里的恶意代码特征存进黑名单库。

这里有个细节让我挺意外。它的“语义分析”模块能识别一些变形的SQL注入，比如把`union select`拆成`uni/**/on se/**/lect`这种注释绕过手法。老式规则库看到这种就抓瞎，但它是按语句结构来判断的，不是死记关键词。我用自己搭的测试站试过十几种绕过技巧，大部分都被拦得死死的。

不过它也不是没有脾气。有一次我调试一个自定义的支付回调接口，请求参数里带了加密的JSON字符串，里面恰好有`