web防护

凌晨三点，某电商平台的登录接口突然涌进每秒两万次的请求。监控大屏上，代表正常流量的蓝色曲线被一道刺眼的红色直线劈开——那不是用户，是肉鸡。运维老张后来跟我说，他当时连咖啡杯都端不稳，因为那波攻击只用了七分钟就耗尽了整个WAF集群的并发上限。

web防护这词听着高大上，说白了就是给网站装门禁。但门禁装多了，连自己人都进不去。去年我们给客户部署了全套防护策略，结果第二天客户运营部门炸了锅——所有带“优惠”字样的商品详情页全被拦截，因为规则库把“优惠”关联到了“钓鱼”。你看，机器不懂人情世故，它只知道匹配特征。

真正的攻防从来不在规则库里。上个月某银行客户遭遇的CC攻击特别刁钻，攻击者模拟真实用户点击轨迹，每个IP只发三个请求就换身份。传统频率限制算法直接失效，因为人家比正常用户还正常。最后怎么解决的？我们盯着会话层的鼠标移动轨迹，发现所有攻击流量在页面滚动时都呈现完美的匀速直线——真人哪有这么听话的手指。

所以我现在特别烦那些吹“AI智能防御”的厂商。他们的模型确实能识别未知攻击，但训练数据里没包含“程序员凌晨改bug时狂按F5”这种场景。误报率在真实业务面前就是个玄学，上周刚把某政府网站的“领导信箱”模块给误封了整整半天，就因为某个投稿内容里出现了攻击payload的十六进制编码。

说个更扎心的真相：多数中小企业根本不需要高级防护。他们官网一个月没几个访客，黑客都懒得扫。真正该防的是那些有数据价值却请不起安全团队的垂直平台——比如某二手交易网站，去年被撞库攻击拖走了四十万条用户手机号，原因只是后台登录接口没做设备指纹校验。攻击者用前年泄露的旧密码库挨个试，就这么简单粗暴。

我电脑里存着三份不同的攻击日志，全是近半年真实案例。一份来自某在线教育平台，攻击者利用越权漏洞遍历出所有学员的身份证号；一份来自某医疗预约系统，SQL注入点藏在医院科室的搜索框里；还有一份来自某地方新闻网站，被植入的挖矿脚本藏在广告位JS文件里。你看，每个行业都有自己独特的脆弱点，通用防护方案就是个毛坯房，住进去才知道哪里漏风。

做防护最怕的就是“差不多得了”。上个月帮朋友排查他公司的网站，发现他们买了最贵的云WAF，却连HTTPS证书都没装——明文流量裸奔了三年。问就是“当初部署的人说这样方便排查问题”。我当场把该WAF的“检测到攻击自动拦截”模式改成了“仅记录”，因为那个配置在HTTP协议下会产生大量乱码误报，反而掩盖了真实的扫描行为。

说到底，web防护是场猫鼠游戏，但老鼠永远比猫更懂建筑的犄角旮旯。别指望买套设备就能高枕无忧，定期做渗透测试、盯着告警日志里那些被忽略的低危事件，比啥都强。上周某客户半夜收到条告警，系统提示有人尝试访问后台的备份文件，他们安全员看了一眼IP段，发现是自家新来的实习生——但那个实习生离职都快半年了。

本文地址：http://www.79wt.cn/news/1828c0899809.html