传统的网络防火墙大多工作在OSI模型的网络层和传输层,无法理解与Web应用密切相关的HTTP协议,所以无法防范伪装成正常数据的Web攻击,造成各种防护侧漏。因此研究如何专门对Web应用层的攻击进行准确的识别和有效的防御成为保证Web应用安全必须解决的问题。通过研究分析诸如SQL注入、XSS、CSRF等常见的Web层漏洞,提炼出各类攻击特征并给出相应防范手段,由此设计实现了一个Web应用防火墙(Web Application Firewall,WAF)。WAF通过对流经的HTTP报文数据进行提取分析,对获得的HTTP报文中的重要字段进行检测匹配,检测之前还会对解析的HTTP报文相关字段进行预处理,防止诸如base64、unicode等编码绕过手段;通过改进AC-BM算法,得到AC-BMP算法,并将该算法应用于WAF的检测引擎中,以期提高WAF对特征字符串的匹配效率和WAF的吞吐量;针对目前泛滥的网页篡改问题,设计了一种对用户透明的网页防篡改机制,保证服务器网页在发生篡改后用户仍然可以请求获得正常的网页内容。为了验证基于AC-BMP算法的WAF的攻击检测和防御能力,将该防火墙部署在Web漏洞实验应用平台WebGoat所在网络,通过使用AppScan扫描防火墙部署前后的WebGoat,扫描结果显示,WAF能对目前常见的Web攻击及其各自的变种攻击进行检测和防御;另外,通过单独对AC-BM算法及AC-BMP算法进行对比测试,可以看出AC-BMP算法确实比AC-BM算法具有更高的匹配效率,通过使用效率更高的AC-BMP算法,WAF的检测效率及吞吐量必然会大大提高。