40.1 waf说明

1 WAF（Web Application Firewall），中文名叫做“Web应用防火墙”。

2 WAF的定义是这样的：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

3 通过从上面对WAF的定义中，我们可以很清晰地了解到：WAF是一种工作在应用层的、通过特定的安全策略来专门为Web应用

提供安全防护的产品。

4 ngx_lua_waf 是一个基于ngx_lua的web应用防火墙。

5 ngx_lua_waf用途：

(1) 防止sql注入，本地包含，部分溢出，fuzzing测试，xss，SSRF等web攻击

(2) 防止svn/备份之类文件泄露

(3) 防止ApacheBench之类的压力测试工具的攻击

(4) 屏蔽常见的黑客扫描工具，扫描器

(5) 屏蔽异常的网络请求

(6) 屏蔽图片附件类目录PHP执行权限

(7) 防止webshell上传

6 什么是lua

Lua 是一种轻量小巧的脚本语言,用标准C语言编写并以源代码形式开放, 其设计目的是为了嵌入应用程序中,从而为应用程序

提供灵活的扩展和定制功能。

7 部署环境

# cat /etc/redhat-release

CentOS Linux release 7.5.1804 (Core)

# uname -r

3.10.0-862.el7.x86_64

40.2 安装waf

1 安装依赖包

# yum -y install gcc gcc-c++ autoconf automake make unzip

# yum -y install zlib zlib-devel openssl openssl-devel pcre pcre-devel

2 安装LuaJIT2.0

LuaJIT是采用C语言写的Lua代码的解释器 这里推荐使用lujit2.1做lua支持。

# wget http://luajit.org/download/LuaJIT-2.0.5.tar.gz

# tar -xzf LuaJIT-2.0.5.tar.gz

# cd LuaJIT-2.0.5/

# make && make install

3 安装ngx_devel_kit

NDK（nginx development kit）模块是一个拓展nginx服务器核心功能的模块，第三方模块开发可以基于它来快速实现。

# wget https://github.com/simplresty/ngx_devel_kit/archive/v0.3.0.tar.gz

# tar -xzf v0.3.0.tar.gz

# mv ngx_devel_kit-0.3.0/ /usr/local/src/

4 安装nginx_lua_module

# wget https://github.com/openresty/lua-nginx-module/archive/v0.10.13.tar.gz

# tar -xzf v0.10.13.tar.gz

# mv lua-nginx-module-0.10.13/ /usr/local/src/

5 导入环境变量

# echo "export LUAJIT_LIB=/usr/local/lib" >> /etc/profile

# echo "export LUAJIT_INC=/usr/local/include/luajit-2.0" >> /etc/profile

# source /etc/profile

6 编译安装nginx

# wget http://nginx.org/download/nginx-1.14.0.tar.gz

# tar -xzf nginx-1.14.0.tar.gz

# cd nginx-1.14.0/

# useradd -s /sbin/nologin -M nginx

# ./configure --user=nginx --group=nginx \

--prefix=/usr/local/nginx-1.14.0 \

--with-http_stub_status_module \

--with-http_ssl_module \

--with-http_gzip_static_module \

--pid-path=/usr/local/nginx-1.14.0/nginx.pid \

--with-http_realip_module \

--add-module=/usr/local/src/ngx_devel_kit-0.3.0 \

--add-module=/usr/local/src/lua-nginx-module-0.10.13 \

--with-ld-opt="-Wl,-rpath,$LUAJIT_LIB"

# make -j2 && make install

# ln -s /usr/local/nginx-1.14.0 /usr/local/nginx

# ln -s /usr/local/lib/libluajit-5.1.so.2 /lib64/libluajit-5.1.so.2

7 新建/usr/local/nginx/logs/hack/攻击日志目录,并赋予nginx用户对该目录的写入权限

# mkdir -p /usr/local/nginx/logs/hack/

# chown -R nginx.nginx /usr/local/nginx/logs/hack/

8 配置ngx_lun_waf

把ngx_lua_waf下载到nginx的conf目录下，解压命名为waf

# wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip

# unzip master.zip -d /usr/local/nginx/conf/

# mv /usr/local/nginx/conf/ngx_lua_waf-master /usr/local/nginx/conf/waf

9 在nginx.conf的http段添加如下内容

# vim /usr/local/nginx/conf/nginx.conf

http {

......

lua_package_path "/usr/local/nginx/conf/waf/?.lua";

lua_shared_dict limit 10m;

init_by_lua_file /usr/local/nginx/conf/waf/init.lua;

access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

......

}

# /usr/local/nginx/sbin/nginx -t

nginx: the configuration file /usr/local/nginx-1.14.0/conf/nginx.conf syntax is ok

nginx: configuration file /usr/local/nginx-1.14.0/conf/nginx.conf test is successful

40.3 测试

1 启动nginx

# /usr/local/nginx/sbin/nginx

2 访问url地址出现如下结果则说明规则生效

http://172.16.1.122/test.tex?id=../etc/passwd

40.4 waf配置文件说明

# cat /usr/local/nginx/conf/waf/config.lua

RulePath = "/usr/local/nginx/conf/waf/wafconf/"

--规则存放目录，绝对路径如有变动，需对应修改

attacklog = "on"

--是否开启攻击信息记录，需要配置logdir

logdir = "/usr/local/nginx/logs/hack/"

--log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限

UrlDeny="on"

--是否拦截url访问

Redirect="on"

--是否拦截重定向

CookieMatch="on"

--是否拦截cookie攻击

postMatch="on"

--是否拦截post攻击

whiteModule="on"

--是否开启URL白名单

black_fileExt={"php","jsp"}

--填写不允许上传文件后缀类型

ipWhitelist={"127.0.0.1"}

--ip白名单，多个ip用逗号分隔

ipBlocklist={"1.0.0.1"}

--ip黑名单，多个ip用逗号分隔

CCDeny="on"

--是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)

CCrate="100/60"

--设置cc攻击频率，单位为秒

--默认1分钟同一个IP只能请求同一个地址100次

html=[[

<html xmlns="http://www.w3.org/1999/xhtml"><head>

<meta http-equiv="Content-Type" content="text/html; charset=utf-8">

<title>网站防火墙</title>

......

]]

--警告内容,可在中括号内自定义

备注：

(1) 不要乱动双引号，配置文件区分大小写。

(2) 默认开启了get、post、cookie过滤。

(3) 日志文件名称格式为"虚拟主机名_日期_sec.log"。

(4) 默认，黑白名单不过滤，可自行调整config.lun配置，使用"--"注释其中一个，另一个

起作用。

40.5 过滤规则

# ls /usr/local/nginx/conf/waf/

config.lua init.lua install.sh README.md wafconf waf.lua

(1) config.lua # 配置文件

(2) init.lua # 规则函数

(3) waf.lua # 逻辑关系

过滤规则在/usr/local/nginx/conf/waf/wafconf/下，可根据需求自行调整，每条规则需换行,或者用|分割

# ls /usr/local/nginx/conf/waf/wafconf/

args cookie post url user-agent whiteurl

(1) args # 里面的规则get参数进行过滤的

(2) url # 是只在get请求url过滤的规则

(3) post # 是只在post请求过滤的规则

(4) whiteurl # 是白名单，里面的url匹配到不做过滤

(5) user-agent # 是对user-agent的过滤规则

(6) cookie # cookie过滤

40、Nginx 配置支持 WAF的更多相关文章

  1. Nginx 配置支持 WAF

    WAF(Web Application Firewall),中文名叫做“Web应用防火墙” WAF的定义是这样的:Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提 ...

  2. 安装nginx+ngx_lua支持WAF防护功能

    安装nginx+ngx_lua支持WAF防护功能 nginx lua模块淘宝开发的nginx第三方模块,它能将lua语言嵌入到nginx配置中,从而使用lua就极大增强了nginx的能力.nginx以 ...

  3. nginx配置支持http2

    1.简介 nginx 配置支持http2.目前大多数网站都是http1.1(如果你没有特别配置过的话) 一切都是为了访问更快. 2.如何查看自己网站的http版本 最简单的方法就F12啊,我这里是火狐 ...

  4. Nginx配置支持https协议-应用实践

    Nginx配置支持https协议-应用实践 https简介 HTTPS 是运行在 TLS/SSL 之上的 HTTP,与普通的 HTTP 相比,在数据传输的安全性上有很大的提升. TLS是传输层安全协议 ...

  5. nginx 配置支持URL HTML5 History 模式 与 设置代理

    拾人牙慧:https://segmentfault.com/q/1010000007140360 nginx 配置支持URL HTML5 History 模式 location / { try_fil ...

  6. Apache和Nginx配置支持苹果ATS方法

    什么是ATS功能? ATS是iOS9和OS X El Capitan的一个新特性.开启该功能后,ATS对使用NSURLConnection, CFURL或NSURLSession 等APIs 进行的网 ...

  7. nginx配置:支持phpfastcgi,nginx和php-cgi通信,部分nginx常量解释

    支持phpfastcgi的配置如下: server { listen       8000; server_name  localhost; root F:/home/projects/test; i ...

  8. nginx配置:支持phpfastcgi,nginx和php-cgi通信，部分nginx常量解释

    支持phpfastcgi的配置如下: server { listen 8000; server_name localhost; root F:/home/projects/test; index in ...

  9. Nginx 配置支持 WebSocket

    找到nginx的配置文件:nginx.conf,增加以下三行配置. 示例: server { listen 80; server_name www.test.com; location / { pro ...

随机推荐

  1. java基础——数组及其应用

    数组 数组时相同类型数据的有序集合 数组描述的时相同类型的若干数据,按照一个定的先后次序排列组合而成 其中,每一个数据成为数组元素,每个数组元素可以通过一个下标来访问他们 数组的声明&创建 首 ...

  2. Docker------Idea连接远程并生成和上传镜像

    1.Docker开启远程访问连接 备注: 1)Linux是CentOS7版本 2)安装Docker可参考: https://www.cnblogs.com/tianhengblogs/p/125202 ...

  3. Xshell 远程使用vim打开文件不能使用右键复制粘贴（右键显示可视）的问题

    Xshell 远程使用vim打开文件不能使用右键复制粘贴(右键显示可视)的问题 Debian9.4系统不能再VIM打开文件界面不能使用右键复制粘贴 root@debian:~# vim /usr/sh ...

  4. 029. Python多态介绍

    多态:不同的子类对象,调用相同的父类方法,产生不同的结果 继承 重写 在不改变原有代码的前提下,实现了不同的效果 class Soldier(): # 攻击 def attack(self): pas ...

  5. 克隆并编译otter

    源码编译: git clone 项目到本地,用IDEA打开,等待Maven下载完jar包,打开命令行,进入当前项目的lib目录 执行install.bat命令,该批处理文件会将缺失的jar包安装到你本 ...

  6. jmeter从安装到使用

    最近,项目需要做接口测试,在python和jmeter之前选择,最终还是选择jmeter,虽然脚本管理及持续集成方面有所不便,但胜在使用简单,调试方便,方便后续做并发压力测试,而且最后的报告统计图表也 ...

  7. 僵尸进程和孤儿进程-(转自Anker's Blog)

    2.基本概念 我们知道在unix/linux中,正常情况下,子进程是通过父进程创建的,子进程在创建新的进程.子进程的结束和父进程的运行是一个异步过程,即父进程永远无法预测子进程 到底什么时候结束. 当 ...

  8. gpcj-07.为什么是连锁零售类公司

    1.量化分析的真面目 本课的目的: ·理解零售类公司价值分析的逻辑·学会量化分析公司的思路和原理前言的前沿 和大部分投资者不同,我们的投资核心之一,就是从下而上的分析.宏观经济对我们公司分析影响极少. ...

  9. 3. servlet 和 springmvc框架关系

    在springmvc上我们会编写很多相关的配置 编写springmvc.xml 配置映射器 配置 处理适配器 ... web.xml 配置前端控制器 (DispatcherServlet) 官网: h ...

  10. Python+Selenium学习笔记4 - submit&get_attribute

    1.submit() submit()方法用于提交表单.如在搜索框输入关键字后按回车键进行查询操作,就可用submit()方法模拟.若不能按回车键进入下一步,则不能用submit()举例,百度的查询提 ...