试题二(15分)
阅读下列说明，回答问题1至问题3。
【说明】
某电商网站在一次安全检测中发现存在多个安全漏洞：
1. 用户登录页面存在SQL注入漏洞，攻击者可以通过构造特殊的登录表单，绕过身份认证直接登录后台。
2. 商品评论功能存在XSS跨站脚本漏洞，攻击者可以在评论中注入恶意JavaScript代码，窃取其他用户的Cookie。
3. 用户上传头像功能没有限制文件类型，攻击者可以上传WebShell脚本文件，获取服务器控制权。
4. 网站管理员后台使用默认口令admin/admin，且没有开启登录失败次数限制。
【问题3】(5分)请说明什么是WAF（Web应用防火墙），以及它在防护上述漏洞中的作用。
参考答案WAF（Web应用防火墙）是专门针对Web应用的安全防护设备，工作在应用层，通过分析HTTP/HTTPS请求内容，检测和阻断SQL注入、XSS、文件上传等Web攻击。
在防护上述漏洞中的作用：
1. 对SQL注入攻击进行特征匹配和语义分析，阻断恶意SQL请求。
2. 检测和拦截包含恶意脚本的XSS请求。
3. 拦截上传恶意脚本文件的请求。
4. 提供虚拟补丁功能，在程序修复前临时防护已知漏洞。
粤公网安备44010602001432号