随着网络与信息技术的发展,尤其是互联网的广泛普及与应用,以Web作为应用平台的网上业务,如电子政务、电子商务、网络办公以及虚拟社区不断增加。随之而来的Web应用的安全问题也越来越严重,如何保证Web应用的正常运行,也成为当前日益重要、必须解决的问题。传统的网络安全设备对于Web应用的攻击防范,作用十分有限。目前的大多数防火墙都是工作在网络层,所有的处理都是在网络层,而应用层攻击的特征在网络层次上是无法检测出来的,这就促使了Web应用防火墙和其他的一些解决方案的产生。本文主要研究Web应用的安全问题,分析了SSL-VPN设备对Web应用攻击不能有效防范的情况,通过在SSL-VPN设备的反向代理功能上添加新的Web应用攻击检测模块,提高了SSL-VPN环境下Web应用抵御Web攻击的能力。本文重点分析了三种常见的Web应用攻击手段：SQL注入,跨站脚本和会话冒用攻击。在探讨它们攻击原理与攻击技术的基础上,按照攻击对象将它们分类,对如何防范这些攻击有了很好的理解。随后分析了当前Web应用安全解决方案的缺陷与不足,并提出了一种基于反向代理的解决方案,从方案的总体设计、模块功能设计到具体的实现过程进行了详细的解释,最后测试了方案的检测能力及对SSL-VPN设备性能的影响。实验表明,在一定程度上的性能损耗下,能对攻击进行有效的检测。与其他的解决方案相比,本方案具有易于部署、成本低、支持HTTPS等优点,而且是目前第一个SSL-VPN设备集成了Web应用防火墙功能的设计方案和产品原型。