一、编程语言的要素
天存信息的iWall3应用防火墙是一种创新式的类编程 WAF，它包含了编程语言的一些基本要素。
1.变量
iWall3 中广义的变量包括报文变量、环境变量和用户变量：报文变量和环境变量相当于编程语言中的常量或传入的参数，用户变量则是真正编程语言意义上的变量，即用户可以自行创建、使用和维护变量。
2.条件判断
iWall3 支持编程语言标准的条件判断：即可以包含无限嵌套的 if - then - else 条件，每个 if 条件又可以使用 and - or - not 逻辑运算符连接多个子条件。
3.表达式
iWall3 支持与通用编程语言一致的表达式：表达式由常量、变量、运算符和内置函数组成，以模板字符串方式内嵌书写，可在条件判断、变量赋值、模式匹配、日志输出等任意位置使用。
4.语句
条件执行部分，iWall3 允许用户书写任意语句：这些语句不限于 WAF 常规的阻止访问和记录日志，它可以实现更复杂的功能，如：改变其他规则的行为，修改 HTTP 报文的特定部分，输出指定变量等。
二、数据方式的语言表达
天存信息的 iWall3 包含了编程语言的设计思想，但独创性地以数据方式呈现。
1.JSON格式
安全产品的使用者通常是非程序员，他们习惯于面对配置文件而非一段代码。因此，iWall3 的配置依旧以规则文件的形式出现，只是这里的规则不是纯文本格式，而是可以体现出层次结构的 JSON 格式。
- 充分利用 JSON 格式的名-值对 (对象) 和序列表 (数组) 结构，将语言要素和业务逻辑用 JSON 格式表达出来，兼顾规则的人机可读性和高度灵活性。
- JSON 格式的每个元素都具有明确的名 (name)，这就给了书写者一个基本的框架和自说明的参数指引，既方便了自己书写规则，也便于其他人对规则的维护。
- iWall3 规则具有明确细致的语法定义，从而能够使用成熟的 JSON schema 方式来校验 (validate) 规则的正确性，例如可以细致检查动作的必选参数、可选参数以及拼写错误。
2.规则结构
一个规则即为一个 if-then-else 结构，在 JSON 格式中表现为一个名为 if 的对象和一个名为 then 的对象，以及可选的一个名为 else 的对象——
- if - 变量经选择和整形后，与表达式模式的运算进行匹配。支持用逻辑运算符连接多个条件。
- then - 匹配后执行的一般语句和裁决语句，还可以包含子
if-then结构。 - else - 不匹配时执行的语句和可选的子
if-then结构。
以下是规则的一个举例：
{
"if": {
"variable": "REQUEST_FILENAME_EXT",
"operator": "inFromFile",
"pattern": "restricted_file_exts.lst"
},
"then": {
"if": {
"variable": "REMOTE_ADDR",
"operator": "begin",
"pattern": "192.168"
},
"then": {
"verdict": {
"log": true,
"action": "pass"
},
"actions": [{
"action": "alterArgGet",
"op": "set",
"name": "iwall_rule_id",
"value": "${RULE.id}"
}],
},
"else": {
"verdict": {
"log": true,
"action": "deny"
}
}
}
}
上述规则实现的功能为： 遇到访问敏感文件类型时，记录日志，并对不同访问来源作不同响应：来自内网的，放行且将规则 id 作为参数传给后端应用；来自外网的，则拒绝。
3.自动循环
一般编程语言中都有名为 for 的循环语句，用来对可迭代数据进行逐个元素处理。HTTP 协议中的请求参数 (args)、头 (header) 都是可迭代数据，在 iWall3 中表现为集合或者数组的数据类型。如果按照编程语言的惯例，用 for 循环去显式地获取数据，会让规则写得很繁琐。
iWall3 则实现了对可迭代变量类型的自动循环，只需列出变量名，即可自动进行循环迭代，简化了书写。而对于不需要参与循环的元素，也提供了成员筛选的手段，直接在变量名后列出白名单或黑名单成员即可。
{
"if": {
"variable": "REQUEST_COOKIES:!cnzz_*",
"transform": "urlDecodeUni",
"operator": "detectSQLi"
}
}
上述规则对请求 cookie 中的每个成员进行 SQL 注入检查，但排除掉 cnzz_ 开头的成员。
4.动态修改
规则并非是静态孤立的，它不仅可以自身执行动作，还可以在 HTTP 会话过程中去改变其他规则的属性，称为元属性覆写。元属性覆写功能实现了运行时的检测和动作分离，通过动态调整其他规则的输入和响应，满足用户复杂的需求。
{
"if": [{
"variable": "REQUEST_FILENAME",
"operator": "=",
"pattern": "admin.php"
},
{
"variable": "TIME.hour",
"operator": "<",
"pattern": "8"
}],
"then": {
"actions": [{
"action": "alterRuleMeta",
"rules": "10001,30001-30999",
"meta": {
"severity": "warning",
"abnormal_weight": 15
}
}]
}
}
上述规则的功能是：在 0:00am-8:00am 这一时间段内访问 admin.php 时，部分规则的紧急度将被设为 critical，异常权值则被设为 15。
三、针对HTTP协议的定制
天存信息的 iWall3 的目标是实现 Web 应用防护，因此在语言设计上也有与 HTTP 协议密切相关的因素。
1.数据类型
与编程语言中的变量一样，iWall3 的变量也具有多种数据类型。其中有些数据类型是专门针对 HTTP 协议而设计的，如：
| 集合类型 | 结构类型 |
|---|---|
| 允许同名的成员。HTTP 协议允许出现同名的请求参数和头，用集合类型来体现名-值对而非键-值对。 | 允许使用 XPath 和 JsonPath 来指定元素，对 XML 和 JSON 类型的请求数据能够更精细地处理。 |
2.持久变量
iWall3 的用户变量具有自己的生命期。在语言层面，iWall3 不仅提供了 HTTP 会话期内有效的事务内变量，也提供了跨越 HTTP 会话的持久变量。
持久变量提供了跨越 HTTP 事务的保存、计算和读取数据的机制。这样，Web 应用防护的逻辑就不局限于单个 HTTP 会话，而是可以在多个 HTTP 会话间建立联系。
3.状态维护
HTTP 协议本身是无状态的，这意味着没有“用户”的概念。但在防护功能上，我们又需要有一个“用户”的概念，这样才能将多个 HTTP 事务关联起来，制定针对“用户”的防护措施。
iWall3 提供了主体的概念，它是 HTTP 事务的发起端和访问者。对于每个 HTTP 事务，可以从设备、网络和报文等不同层面采集信息，得到多个类型的主体。如此，书写者能够对多个 HTTP 事务中的同一主体应用规则 (如长时间拦截) 和共享数据 (如权重计算)。
四、有什么用
使用类编程 WAF，安全人员不再是规则的使用者，而变成了规则的生产者。针对应用的细致和独立的安全需求，基本上都可以用编程的方式实现出来，不再受限于 WAF 产品提供的内置功能。
如本文开头所述的功能需求，即使仅仅在防范注入方面：
- 某个域名或某些特定的 URL 不需要注入检查；
- 对来自外网的注入访问进行拦截，来自内网的注入访问只记录，不拦截；
- 对特定的请求参数名或特定特征的请求参数不进行注入检查；
- 非工作时段不仅拦截还阻止该用户一段时间访问；
- 对 admin 等管理账号登录后的访问不进行注入检查；
- 对于只记录不拦截的请求，附加一个特别的请求头发往应用；
- 对某些 URL 的注入访问，记录下 HTTP 请求的全部报文；
- HTTP 响应码为 500 的注入的日志紧急度设为 alert；
- 对疑似的注入企图不做一次拦截，而是进行加权计算。
无论是上述某一条还是更复杂的组合，安全人员都可以在用户现场通过高度灵活的类编程 iWall3 来实现。
