id="frame2"frameborder="1"marginwidth="0"
marginheight="0"width="800"scrolling=yesheight="300">
3、执行Submit
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
预期结果
测试结果
通过部分通过未通过未测试
备注
SQL注入攻击防护
3.1.2.1.3数字型SQL注入攻击防护
测试分项目
数字型SQL注入攻击
测试目的
SQL注入攻击，是发生于应用程序之数据库层的安全漏洞。
简而言之，是在输入的字符串之中注入SQL指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破坏
测试步骤
1、TopWAF设备上开启安全策略-防护策略-SQL攻击防护开关，在web防护-服务器策略将相应安全策略进行绑定。
2、开启代理Webscarab，拦截如下页面后，对参数station的值进行修改，修改为101or1=1：
3、执行Acceptchanges
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
3.1.2.1.4字符型SQL注入攻击防护
测试分项目
字符型SQL注入攻击
测试目的
SQL注入攻击，是发生于应用程序之数据库层的安全漏洞。
简而言之，是在输入的字符串之中注入SQL指令，在设计不良的程序当中忽略了检查，那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而运行，因此遭到破坏
测试步骤
1、TopWAF设备上开启安全策略-防护策略-SQL攻击防护开关，在web防护-服务器策略将相应安全策略进行绑定。
2、在WebGoat服务器如下页面输入参数’or1=1-
3、执行Go！
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
3.1.2.1.5SQL盲注入攻击防护
测试分项目
SQL盲注入
测试目的
如果网站上有盲注入漏洞则攻击者可以做猜解用户名密码等探测，通过此测试来验证waf能否对盲注入漏洞能否能做有效防护
测试步骤
1、TopWAF设备上开启安全策略-防护策略-SQL攻击防护开关，在web防护-服务器策略将相应安全策略进行绑定。
2、在WebGoat服务器如下页面输入参数101AND1=1
3、执行Go！
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
系统命令注入攻击防护
测试分项目
系统命令注入攻击
测试步骤
1、TopWAF设备上开启安全策略-防护策略-OScommend攻击防护开关，在web防护-服务器策略将相应安全策略进行绑定。
2、开启代理Webscarab，拦截如下页面后，对参数station的值进行修改，增加如下字段%22%26+netstat+-an+%26+ipconfig：
3、执行Acceptchanges
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
信息泄露防护
测试分项目
信息泄露
测试目的
当数据库或者网站无法执行用户或黑客进行的操作时往往会提示友好的提示信息，此信息中可能包含数据库厂商信息、版本信息、表信息、用户信息、网站容器版本信息等各种信息，当TopWAF检测到此种信息返回时应能阻断信息的返回并给出安全提示
测试步骤
1、TopWAF设备上开启安全策略-防护策略-Infoleak攻击防护开关（因默认上传策略中不允许jsp文件，须将上传策略关闭）在web防护-服务器策略将相应安全策略进行绑定。
2、本地生成内容为<%java.io.Filefile=newjava.io.File（"E:
\\WebScarab\\guest.txt"）;
file.createNewFile（）;%>的jsp文件
3、上传到WebGoat如下页面中，上传步骤2中jsp文件：
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
本地文件包含防护
测试分项目
本地文件包含
测试目的
本地文件包含攻击是一种常见的web漏洞,应用程序在使用文件包含函数时（fopen,include,require等），由于对用户的输入缺乏验证,导致攻击者可以包含一个本地文件，如系统配置文件，TopWAF需要对该类型攻击进行防护。
测试步骤
1、TopWAF设备上开启安全策略-防护策略-LFI攻击防护开关，在web防护-服务器策略将相应安全策略进行绑定。
2、开启代理Webscarab，拦截如下页面后，对参数File的value修改为../../../../conf/tomcat-users.xml：
3、执行Acceptchanges
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
CSRF攻击防护
测试分项目
CSRF攻击防护
测试目的
攻击者利用网站对合法用户的网页浏览器的信任，劫持用户当前已登录的Web应用程序的会话，迫使用户浏览器将伪造的HTTP请求（包括该用户的会话Cookie和其他认证信息）发送到已登录的Web应用程序，执行非用户本意的操作
测试步骤
1、TopWAF设备上对csrf配置对应csrf防护策略，referer值为http:
//172.18.34.44/WebABC/attack，请求方法为全部
2、打开如下webgoat页面，在webscared上查看referer值为http:
//172.18.34.44/WebGoat/attack?
Screen=52&menu=900，输入任意参数：
3、执行Submit
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
网络爬虫防护
测试分项目
网络爬虫防护
测试目的
爬虫占用大量网络带宽，对服务器影响极大。
TopWAF能及时检测到网络爬虫并进行阻断或告警处理，保护服务器不受爬虫影响。
测试步骤
1、首先TopWAF设备上进行服务器对象-爬虫-爬虫组配置，其中sogou属于内置爬虫，在web防护-服务器策略将相应安全策略进行绑定。
3、将配置的爬虫组绑定到安全策略-爬虫防护中：
4、点击任意webgoat界面，使用webscareb触发user-agent
为SogouPicSpider/3.0（+
/help/webmasters.htm#07），如下所示：
5、执行Acceptchanges。
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
盗链防护
测试分项目
盗链防护
测试目的
防止别人通过一些技术手段绕过本站的资源展示页面，盗用本站的资源，让绕开本站资源展示页面的资源链接失效的技术。
开启防盗链功能后，因为屏蔽了那些盗链的间接资源请求，从而可以大大减轻服务器及带宽的压力。
测试步骤
1、配置TopWAF设备安全策略-防盗链功能，增加webgoat服务器的站点名:
http:
//172.18.34.44/WebGoat/attack，在web防护-服务器策略将相应安全策略进行绑定。
2、打开任意webgoat页面，使用webscarb将referer值配置为与步骤1中webgoat站点名不同值，如配置为http:
//172.18.34.42/WebGoat/attack：
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
恶意文件上传防护
测试分项目
恶意文件上传
测试目的
黑客在查找到网站管理入口及网站后台用户名密码后，往往根据网站的asp上传解析漏洞，通过将.asp的木马文件修改后缀名为图片等合法格式进行上传，以达到绕过网站后台上传格式要求的目的。
上传成功则黑客将获取webshell，再进行提权黑客将可以获取服务器最高管理权限，服务器沦陷。
测试步骤
1、配置TopWAF设备安全策略-文件上传限制，上传文件类型无jsp格式，在web防护-服务器策略将相应安全策略进行绑定。
2、本地生成内容为<%java.io.Filefile=newjava.io.File（"E:
\\WebScarab\\guest.txt"）;
file.createNewFile（）;%>的jsp文件
3、执行startupload：
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
敏感数据防护
测试分项目
敏感数据防护
测试目的
信用卡、身份证、电话等信息涉及个人隐私，Web服务器为用户响应敏感数据会带来用户信息的安全隐患
测试步骤
1、在服务器对象-数据类型中配置敏感数据类型为16位，校验类型为信用卡，正则为\d{16};配置TopWAF设备安全策略-高级设置-敏感数据设置替换字符为*，替换位置为+4，在web防护-服务器策略将相应安全策略进行绑定。
2、在网页上输入真实的信用卡号。
3、将输入信息提交至服务器。
预期结果
提交后的网页显示信用卡号前4位被*号代替，敏感数据进行了防护
测试结果
通过部分通过未通过未测试
备注
双重编码还原
测试分项目
双重编码
测试目的
攻击者提交双重URL编码的请求试图绕过TopWAF等防护设备，如果Web应用程序错误的对请求做了额外的解码，将会形成攻击。
测试步骤
1、开启TopWAF设备安全策略-高级设置-检测多重编码开关，在web防护-服务器策略将相应安全策略进行绑定。
2、开启代理Webscarab，拦截如下页面后，在URL中增加%2527：
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
HTTP协议合规性检测
测试分项目
HTTP协议合规性检测
测试目的
HTTP协议合规功能是指根据HTTP报文的结构中的不同参数，对客户端发起的HTTP请求报文进行限制，拦截非法请求，保证服务器安全稳定运行。
测试步骤
1、开启TopWAF设备安全策略-HTTP协议合规-开关，配置最大请求头为10，在web防护-服务器策略将相应安全策略进行绑定：
2、登陆webgoat任意页面
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
参数自学习功能
测试分项目
自学习功能
测试目的
动态智能适应收集网络环境特征，精确规范用户在Web网站中提交信息的行为，有效防护提交攻击参数行为。
测试步骤
1、开启服务器策略中自学习功能，安全策略中自学习功能使用默认配置即可
2、在webgoat上打开如下页面并点击提交,：
3、打开自学习报告页面查看自学习参数：
4、手动将自学习结果设置为学习完成，且配置参数最大长度，由于要下一步骤只是构造请求体参数攻击，故只针对请求体参数进行最大长度规则配置，此步骤尤其注意设置完参数最大长度后，要将学习结果设置为学习完成，学习状态也要设置为学习完成，然后点击保存，生成参数防护规则：
5、回到步骤2中的页面，点击确定后，使用webscare进行参数修改，增加参数值长度或将参数值设置为符号等异常值，&"<>,?
sd/.fsmdf.：
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
请求参数防护
测试分项目
请求参数
测试目的
在Web应用系统中大部分参数类型和内容都比较确定，例如部分的参数为数字类型、布尔类型等，通过对参数的限制，可以防御已知或者未知的攻击。
测试步骤
1、开启TopWAF设备安全策略-请求参数开关，配置最多请求参数为2个，在web防护-服务器策略将相应安全策略进行绑定。
2、开启代理Webscarab，拦截如下页面后，对URL参数增加&admin=true：
3、执行acceptchanges
预期结果
该攻击被阻止，查看TopWAF攻击日志出现对应攻击防护阻断介绍：
测试结果
通过部分通过未通过未测试
备注
自定义防护策略
测试分项目
自定义策略
测试目的
自定义策略涵盖对HTTP报文的各部分内容特征进行灵活精准匹配的条件，管理员一旦掌握恶意行为的特征，通过简单操作即可配置抵御该恶意行为的规则。
测试步骤
1、配置TopWAF设备安全策略-自定义策略，添加处理阶段为请求头，处理动作为拒绝，添加变量为REQUEST_URL，匹配正则中输入需要进行防护的字段如：
REQUEST_URL为WebGoat/attack
2、配置TopWAF设备服务器策略，将该自定义策略所在安全策略进行绑定
3、，从客户端进行对服务器webgoat访问（使用wireshark抓包查看请求的报文中须含有WebGoat/attack字段，若匹配到此字段
升级会员 