「溢位」是黑客最愛手段之一，公開shellcode與原理隨處可得，衍生大量安全隱患。傳統防火牆基於封包過濾規則，僅工作於傳輸層，而溢位shellcode在應用層，故傳統防火牆對此類攻擊無能為力。以IIS WebDAV溢位漏洞為例：攻擊在正常HTTP服務下發生，不打補丁/手工處理下，防火牆若過濾TCP 80埠等於停止服務。以下三種解決方案：

1. 單獨開放埠存取控制策略

原則： 僅開放需提供服務的埠，其餘過濾。例：保護有WebDAV缺陷的Web伺服器，前端防火牆加入「只允許訪問TCP 80埠」規則。

效果： 對遠端溢位攻擊前三步（掃描→確認版本→發送shellcode）無效，但第四步：駭客連接被溢位主機的後門埠（如NC/Telnet連接）被有效阻斷，切斷惡意控制鏈。

優點： 操作簡單，一般網管可完成。

缺點： 無法阻擋：埠復用型exploit、反向連接型exploit、DoS型溢位攻擊。

2. 應用層防火牆系統

能在應用層處理資料。針對HTTP協議的應用層防火牆（如SecureIIS）可為有WebDAV缺陷伺服器訂製保護規則。原理：資料包到達TCP 80 → 轉交SecureIIS → 分析解碼應用層資料 → 與自訂規則比對 → 符合條件執行指定操作（阻擋/記錄/告警）。

優點： 有效切斷應用層攻擊（溢位、SQL注入等）。

缺點： 安裝於伺服器佔用系統資源；曾出現誤判中文POST資料為高位攻擊代碼而自動隔離處理的問題。

3. 整合IDS模組的防火牆系統

國產防火牆進入「白熱化」，廠商轉向多功能，整合IDS模組非新鮮事。使用此類產品可達到監控應用層資料效果。

優點： 管理便利（防火牆+IDS一體）。

缺點： 成本增加；長期需人力資源管理維護；防火牆上IDS模組功能有限。

結語

針對溢位攻擊，單一防火牆難以完美防禦，需結合修補漏洞、應用層防護、入侵偵測等多層次防禦體系。