通过简单的UA 判断是否是爬虫 如果你的api 出现异常 建议你请求APi的时候UA换成百度蜘蛛的爬虫 如果是伪造的百度蜘蛛UA 不会影响到其他功能的拦截的 真实的百度爬虫不会拦截 伪造的百度爬虫如果触发恶意行为 一定会拦截
155002zsrhnhl53lmlbfbs.png (104.01 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
建议开启 此功能
备注：如果说使用了微信小程序外部调用的话。建议关闭此功能。因为微信那边也是非浏览器的进行验证你的网站的。
一：状态码过滤
110455z34ssepxxmd6kd7d.png (103.65 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
强调一下：这个功能是根据返回的状态码来做一个拦截的。
110553stmqnllbabntzsko.png (53.84 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
只允许了。状态码为 403 404 500 501 502 这几个状态码能拦截。其他的默认放行。
建议设置500 报错 进行拦截。
因为500 报错中会泄露一些信息。这样有效的保护了信息。
还有一个需要注意的是。如果是你的拦截状态码是403 设置之后。那么防火墙的拦截页面就不会显示了。
二、HTTP请求过滤讲解的简介
160422yzlp7ij3lp7pzjll.png (90.26 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
首先说明一下:
1. HTTP请求类型过滤 为请求类型过滤
2. 请求头过滤 为HTTP header 头部长度过滤
3. 语义分析开关 为全局控制开关
二、防御设置
2.1 HTTP请求类型过滤（默认即可）
161406pozukioa04fisbdm.png (90.38 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
如果你不是很懂这块的话。建议默认就行了。
如果你的需求 只允许POST 和GET 那么你把 除POST 和GET 的所有类型都关闭。
如下：
161545se5080vnngg0mn03.png (22.44 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
测试。我把GET给关闭了。（记得测试之后开启GET）
161945c9ddrhzz6q5hff2h.png (231.15 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
2.2 请求头过滤 (如果没有需求默认即可)
162032oqxs8aa48ioo7pi8.png (338.18 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
请求头过滤是过滤的请求头的字段长度。
例如（假设） 请求头中的cookie 头部只能500 以内。那么超过这个长度就相当于恶意的请求
测试如下：
162202tpf15s9n959ppx1h.png (46.01 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
162340lptt1xzekkbxexa6.png (364.38 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
2.3 语义分析开关 (默认即可)
162415qc82s2mlpc2n2swm.png (343.53 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
这个是程序内部的语义分析开关。默认不动即可
如果需要测试的话，如下：
162547gjv2vzvemba2ehrz.png (308.73 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
发送一个恶意的SQL 注入请求。然后找到该网站看拦截日志
162640v0rxmm68w5jseqmr.png (71.15 KB, 下载次数: 0)
下载附件
保存到相册
前天20:17 上传
如果没有开启的话。就是内置的那些规则去防护的。
