nginx+lua实现简单的waf网页防火墙功能

﹏ヽ暗。殇╰゛Y 2022-05-14 01:47 270阅读 0赞

*摘要：* Nginx+Lua实现WAF 参考地址：http://www.2cto.com/Article/201303/198425.html 2016年8月2日 安装LuaJIT http://luajit.

**Nginx+Lua****实现****WAF**

参考地址：http://www.2cto.com/Article/201303/198425.html

2016年8月2日

## 安装LuaJIT ##

http://luajit.org/download/LuaJIT-2.0.4.tar.gz

tar xf LuaJIT-2.0.4.tar.gz

cd LuaJIT-2.0.4

make && make install 即可

## 下载ngx\_devel\_kit ##

https://codeload.github.com/simpl/ngx\_devel\_kit/zip/master

unzip ngx\_devel\_kit-master.zip

解压后的路径为：root/ngx\_devel\_kit-master

## 下载nginx\_lua\_module解压 ##

https://github.com/openresty/lua-nginx-module\#readme

unzip lua-nginx-module-master.zip

cd lua-nginx-module-master

## 安装nginx或给nginx打补丁 ##

**nginx -v 查看nginx的版本号**

\# nginx -v

nginx version: nginx/1.8.0

**nginx -V 查看以前的编译参数**

\# nginx -V

nginx version: nginx/1.8.0

built by gcc 4.4.7 20120313 (Red Hat 4.4.7-16) (GCC)

built with OpenSSL 1.0.1e-fips 11 Feb 2013

TLS SNI support enabled

configure arguments: --user=www --group=www --prefix=/usr/local/nginx --with-http\_stub\_status\_module --with-http\_ssl\_module --with-http\_spdy\_module --with-http\_gzip\_static\_module --with-ipv6 --with-http\_sub\_module --with-google\_perftools\_module

我这里已经安装过nginx1.8了。

那么下面就是给nginx打补丁的事情了。如下：

进到nginx1.8的源代码目录下。执行下面的一系列命令：

\# 导入环境变量，编译

\# exportLUAJIT\_LIB=/usr/local/lib    \#这个很有可能不一样

\# exportLUAJIT\_INC=/usr/local/include/luajit-2.0 \#这个很有可能不一样

\# cd /home/tools/lnmp1.2-full/src/nginx-1.8.0

\#./configure \\

\--user=www --group=www \\

\--prefix=/usr/local/nginx \\

\--with-http\_stub\_status\_module \\

\--with-http\_ssl\_module \\

\--with-http\_spdy\_module \\

\--with-http\_gzip\_static\_module \\

\--with-ipv6 \\

\--with-http\_sub\_module \\

\--with-google\_perftools\_module \\

\--add-module=/root/ngx\_devel\_kit-master\\

\--add-module=/root/lua-nginx-module-master\\

\--with-ld-opt="-Wl,-rpath,$LUAJIT\_LIB"

\# make -j4 && make install

## 准备nginx的攻击日志目录 ##

\# mkdir -p /home/wwwlogs/attack

\# chown www.www /home/wwwlogs/attack

\# chmod -R 755 /home/wwwlogs/attack

## 安装nginx的Lua\_waf模块 ##

官方地址：https://github.com/loveshell/ngx\_lua\_waf

\# wget https://codeload.github.com/loveshell/ngx\_lua\_waf/zip/master

\# unzip ngx\_lua\_waf-master.zip

\# cd ngx\_lua\_waf-master

\# mkdir /usr/local/nginx/conf/waf

\# cp -a ./ /usr/local/nginx/conf/waf

修改nginx的配置文件，在**http****段**加入如下内容：

lua\_package\_path"/usr/local/nginx/conf/waf/?.lua";

lua\_shared\_dict limit 10m;  开启拦截cc攻击必须加这条规则

init\_by\_lua\_file /usr/local/nginx/conf/waf/init.lua;

access\_by\_lua\_file /usr/local/nginx/conf/waf/waf.lua;

修改/usr/local/nginx/conf/waf/config.lua中如下2部分内容即可：

RulePath ="/usr/local/nginx/conf/waf/wafconf/"

attacklog = "on"

logdir ="/home/wwwlogs/attack"

UrlDeny="on"

Redirect="on"

CookieMatch="on"

postMatch="on"

whiteModule="on"

black\_fileExt=\{"php","jsp"\}

ipWhitelist=\{"127.0.0.1"\}

ipBlocklist=\{"1.0.0.1"\}

CCDeny="on"

CCrate="100/60"

**配置文件说明：**

RulePath = "/usr/local/nginx/conf/waf/wafconf/"    --规则存放目录

attacklog = "off"               --是否开启攻击信息记录，需要配置logdir

logdir ="/usr/local/nginx/logs/hack/"   --log存储目录，该目录需要用户自己新建，需要nginx用户的可写权限

UrlDeny="on"                    --是否拦截url访问

Redirect="on"                   --是否拦截后重定向

CookieMatch = "on"              --是否拦截cookie攻击

postMatch = "on"                --是否拦截post攻击

whiteModule = "on"              --是否开启URL白名单

black\_fileExt=\{"php","jsp"\}      --填写不允许上传文件后缀类型

ipWhitelist=\{"127.0.0.1"\}       --ip白名单，多个ip用逗号分隔

ipBlocklist=\{"1.0.0.1"\}          --ip黑名单，多个ip用逗号分隔

CCDeny="on"           --是否开启拦截cc攻击(需要nginx.conf的http段增加lua\_shared\_dict limit 10m;)

CCrate ="100/60"     --设置cc攻击频率，单位为秒. 默认1分钟同一个IP只能请求同一个地址100次

html=\[\[Please go away~~\]\]       --警告内容,可在中括号内自定义

备注:不要乱动双引号，区分大小写

**重启****nginx**

\# nginx -t

\# /etc/init.d/nginx restart   重启nginx

**恶意访问测试**

\# curl http://xxxx/test.php?id=../etc/passwd

\# curl http://192.168.2.12/index.php?cmd=phpinfo();

或者直接在网页上请求

结果都是如下图所示，被拦截了。

![wKioL1ekf3\_xPgUdAAB7idVmlh0081.png][wKioL1ekf3_xPgUdAAB7idVmlh0081.png]

此外，在/home/wwwlogs/attack目录下已经有日志文件记录下整个攻击的日志了。

![wKioL1ekf4Cj-cLBAAAaAgoKr2M737.png][]

![wKiom1ekf37ApnUsAABXpW02Dew226.png][]

**一些说明：**

过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割

args里面的规则get参数进行过滤的

url是只在get请求url过滤的规则

post是只在post请求过滤的规则

whitelist是白名单，里面的url匹配到不做过滤

user-agent是对user-agent的过滤规则

默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可。

拦截到的非法请求，记录在日志文件名称格式如下:虚拟主机名\_sec.log

**说明：**

这玩意貌似只能防止一些简单的sql注入类的语句，对于一些精心构造的恶意语句还是拦截不了的。

另外，我在公司的服务器上装了它，后台客服反应会出现form表单中图片无法上传的情况。

[wKioL1ekf3_xPgUdAAB7idVmlh0081.png]: /images/20220514/e3bc0b2539954c12b6cb04448f3c2c9c.png
[wKioL1ekf4Cj-cLBAAAaAgoKr2M737.png]: /images/20220514/e9630dcfd29b48e0ab3c5d12f5b0e4c1.png
[wKiom1ekf37ApnUsAABXpW02Dew226.png]: /images/20220514/d7071c0497e64836b409afb84526910d.png