防止 sql 注入的核心在于对用户输入进行严格验证和过滤，可通过 apache 配置实现初步防御。1. 使用 mod_rewrite 模块禁用危险字符和函数，如 union、select、insert 等关键字，并通过 rewritecond 和 rewriterule 设置规则拒绝非法请求；2. 设置参数长度限制，通过 limitrequestfields 和 limitrequestfieldsize 控制请求字段数量与大小，减少攻击面；3. 实施 url 编码检查，在应用层解码并验证输入，避免攻击者绕过过滤；4. 开启日志记录功能，通过 errorlog 记录被拒绝的请求信息以供分析排查；5. 采用白名单策略，仅允许符合特定格式的输入，提升安全性；6. 结合 waf 提供更高级防御，apache 规则可作为其前置过滤层，减轻 waf 负担；7. 对 post 请求使用 mod_security 模块进行内容检测与过滤，增强全面防护能力；8. 为避免误判，应精细化编写规则、定期分析日志、灰度发布新规则并收集用户反馈；最终还需结合输入验证、参数化查询、最小权限原则及定期安全审计等多层策略，才能有效抵御 sql 注入攻击。
防止 SQL 注入，核心在于对用户输入进行严格的验证和过滤。Apache 作为 Web 服务器，可以在请求到达应用程序之前进行初步的防御。设计有效的规则，需要兼顾安全性和可用性，避免误伤正常请求。
解决方案
-
禁用危险字符和函数： 在 Apache 的配置文件（例如 .htaccess 或 httpd.conf）中使用 mod_rewrite 模块，可以设置规则来拒绝包含特定字符或函数的请求。例如，可以禁止 union, select, insert, update, delete, drop, truncate, ;, — 等关键字。
RewriteEngine On RewriteCond %{QUERY_STRING} (union|select|insert|update|delete|drop|truncate|;|--) [NC,OR] RewriteCond %{REQUEST_URI} (union|select|insert|update|delete|drop|truncate|;|--) [NC] RewriteRule .* - [F,L]- RewriteEngine On: 启用重写引擎。
- RewriteCond %{QUERY_STRING} …: 检查查询字符串中是否包含危险字符。
- RewriteCond %{REQUEST_URI} …: 检查 URI 中是否包含危险字符。
- [NC]: 不区分大小写。
- [OR]: 逻辑或，只要满足一个条件就执行规则。
- RewriteRule .* – [F,L]: 如果满足条件，则返回 403 Forbidden 错误。 [F] 表示 Forbidden，[L] 表示 Last rule，停止后续规则的执行。
-
参数长度限制： SQL 注入攻击通常需要较长的输入字符串。可以设置参数长度限制，超出长度的请求直接拒绝。
LimitRequestFields 50 LimitRequestFieldSize 256
- LimitRequestFields 50: 限制请求头字段的数量为 50。
- LimitRequestFieldSize 256: 限制请求头字段的大小为 256 字节。这并不能直接防止 SQL 注入，但可以限制攻击者发送大量数据的可能性。
-
URL 编码检查： 攻击者可能会使用 URL 编码绕过简单的字符过滤。需要检查解码后的字符串，而不是直接检查编码后的字符串。 Apache 本身不直接提供解码功能，但可以结合其他模块或脚本来实现。 一个更有效的做法是在应用程序层面进行解码和验证。
-
日志记录： 记录所有被拒绝的请求，方便后续分析和排查问题。
ErrorLog "logs/error_log"
确保错误日志记录了足够的信息，例如请求的 URI、查询字符串、客户端 IP 地址等。
-
白名单策略： 比起黑名单策略，白名单策略更安全。只允许特定格式的输入，拒绝其他所有输入。但这通常需要对应用程序的输入进行深入了解，实施起来比较复杂。
Apache 规则如何与 WAF 配合？
Web 应用防火墙（WAF）通常提供更高级的 SQL 注入防御功能，例如：
- 基于规则的检测： WAF 内置了大量的 SQL 注入规则，可以检测各种攻击模式。
- 行为分析： WAF 可以分析用户的行为，识别异常请求。
- 机器学习： 一些 WAF 使用机器学习算法来识别新的攻击模式。
Apache 的规则可以作为 WAF 的补充，在请求到达 WAF 之前进行初步的过滤。例如，可以先使用 Apache 规则拒绝包含明显危险字符的请求，然后再将剩余的请求交给 WAF 进行更深入的分析。这样可以减轻 WAF 的负担，提高整体的防御能力。
如何处理 POST 请求中的 SQL 注入？
mod_rewrite 主要处理 URL 和查询字符串，对于 POST 请求的内容，它可能无法直接处理。对于 POST 请求，需要在应用程序层面进行更严格的验证和过滤。 可以使用 Apache 的 mod_security 模块，它能够检查 POST 请求的内容，并根据配置的规则进行过滤。 mod_security 提供了更强大的功能，可以检测和阻止各种 Web 攻击，包括 SQL 注入、xss 等。
如何避免误判？
过度严格的规则可能会导致误判，影响正常用户的使用。为了避免误判，可以采取以下措施：
- 精细化规则： 尽量编写精细化的规则，只拦截确实存在风险的请求。
- 日志分析： 定期分析日志，检查是否存在误判的情况，并及时调整规则。
- 灰度发布： 在生产环境上线新的规则之前，先在测试环境进行充分的测试。
- 用户反馈： 允许用户报告误判的情况，并及时处理。
记住，没有任何一种方法可以完全防止 SQL 注入。 最佳实践是采用多层防御策略，包括：
- 输入验证： 在客户端和服务器端都进行输入验证。
- 参数化查询： 使用参数化查询或预编译语句，避免将用户输入直接拼接到 SQL 语句中。
- 最小权限原则： 数据库用户只授予必要的权限。
- 定期安全审计： 定期进行安全审计，发现潜在的漏洞。
