删除没用文件
ibuler
parent
6c55cdb943
commit
6ef88ea398
151
README.md
151
README.md
|
|
@ -1,138 +1,25 @@
|
|||
##ngx_lua_waf
|
||||
## ngx_lua_waf
|
||||
基于 loveshell [nginx-lua-waf](https://github.com/loveshell/ngx_lua_waf)更改
|
||||
|
||||
ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。
|
||||
### 使用方法:
|
||||
1. nginx安装lua模块，不再详述
|
||||
2. nginx.conf 添加参数
|
||||
lua_package_path /data/server/nginx/conf/waf/?.lua; # 模块位置
|
||||
lua_shared_dict limit 10m; # 设置lua使用内存, 根据访问量设置合适值
|
||||
3. location或server设置访问控制
|
||||
access_by_lua_file /data/server/nginx/conf/waf/entry.lua; # 可以copy一份到不同的配置中，单独修改其配置文件
|
||||
|
||||
代码很简单，开发初衷主要是使用简单，高性能和轻量级。
|
||||
|
||||
现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。
|
||||
|
||||
###用途：
|
||||
|
||||
防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击
|
||||
防止svn/备份之类文件泄漏
|
||||
防止ApacheBench之类压力测试工具的攻击
|
||||
屏蔽常见的扫描黑客工具，扫描器
|
||||
屏蔽异常的网络请求
|
||||
屏蔽图片附件类目录php执行权限
|
||||
防止webshell上传
|
||||
|
||||
###推荐安装:
|
||||
|
||||
推荐使用lujit2.1做lua支持
|
||||
|
||||
ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。
|
||||
## 文件说明
|
||||
- config.lua 默认配置文件
|
||||
- entry.lua access控制入口样例文件
|
||||
- init.lua 函数所在文件，都会调用该文件
|
||||
- wafconf 暂时没有使用，将来开发继续完成
|
||||
|
||||
|
||||
###使用说明：
|
||||
|
||||
nginx安装路径假设为:/usr/local/nginx/conf/
|
||||
|
||||
把ngx_lua_waf下载到conf目录下,解压命名为waf
|
||||
|
||||
在nginx.conf的http段添加
|
||||
|
||||
lua_package_path "/usr/local/nginx/conf/waf/?.lua";
|
||||
lua_shared_dict limit 10m;
|
||||
init_by_lua_file /usr/local/nginx/conf/waf/init.lua;
|
||||
access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;
|
||||
|
||||
配置config.lua里的waf规则目录(一般在waf/conf/目录下)
|
||||
|
||||
RulePath = "/usr/local/nginx/conf/waf/wafconf/"
|
||||
|
||||
绝对路径如有变动，需对应修改
|
||||
|
||||
然后重启nginx即可
|
||||
### 参数说明
|
||||
- debug: 调试阶段开始debug，显示debug信息
|
||||
- cc_deny: 开启cc_deny，控制访问量
|
||||
- cc_rate: 10/60 意思为 60s内访问10次，超过频率会被block掉
|
||||
- cc_deny_seconds: 达到阈值后，禁止访问的时间
|
||||
|
||||
|
||||
###配置文件详细说明：
|
||||
|
||||
RulePath = "/usr/local/nginx/conf/waf/wafconf/"
|
||||
--规则存放目录
|
||||
attacklog = "off"
|
||||
--是否开启攻击信息记录，需要配置logdir
|
||||
logdir = "/usr/local/nginx/logs/hack/"
|
||||
--log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限
|
||||
UrlDeny="on"
|
||||
--是否拦截url访问
|
||||
Redirect="on"
|
||||
--是否拦截后重定向
|
||||
CookieMatch = "on"
|
||||
--是否拦截cookie攻击
|
||||
postMatch = "on"
|
||||
--是否拦截post攻击
|
||||
whiteModule = "on"
|
||||
--是否开启URL白名单
|
||||
black_fileExt={"php","jsp"}
|
||||
--填写可上传文件后缀类型
|
||||
ipWhitelist={"127.0.0.1"}
|
||||
--ip白名单，多个ip用逗号分隔
|
||||
ipBlocklist={"1.0.0.1"}
|
||||
--ip黑名单，多个ip用逗号分隔
|
||||
CCDeny="on"
|
||||
--是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
|
||||
CCrate = "100/60"
|
||||
--设置cc攻击频率，单位为秒.
|
||||
--默认1分钟同一个IP只能请求同一个地址100次
|
||||
html=[[Please go away~~]]
|
||||
--警告内容,可在中括号内自定义
|
||||
备注:不要乱动双引号，区分大小写
|
||||
|
||||
###检查规则是否生效
|
||||
|
||||
部署完毕可以尝试如下命令：
|
||||
|
||||
curl http://xxxx/test.php?id=../etc/passwd
|
||||
返回"Please go away~~"字样，说明规则生效。
|
||||
|
||||
注意:默认，本机在白名单不过滤，可自行调整config.lua配置
|
||||
|
||||
|
||||
###效果图如下：
|
||||
|
||||
|
||||
|
||||
|
||||
|
||||
###规则更新：
|
||||
|
||||
考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。
|
||||
|
||||
规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。
|
||||
|
||||
只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之
|
||||
|
||||
###一些说明：
|
||||
|
||||
过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割
|
||||
|
||||
global是全局过滤文件，里面的规则对post和get都过滤
|
||||
get是只在get请求过滤的规则
|
||||
post是只在post请求过滤的规则
|
||||
whitelist是白名单，里面的url匹配到不做过滤
|
||||
user-agent是对user-agent的过滤规则
|
||||
|
||||
|
||||
默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可
|
||||
|
||||
日志文件名称格式如下:虚拟主机名_sec.log
|
||||
|
||||
|
||||
## Copyright
|
||||
|
||||
<table>
|
||||
<tr>
|
||||
<td>Weibo</td><td>神奇的魔法师</td>
|
||||
</tr>
|
||||
<tr>
|
||||
<td>Forum</td><td>http://bbs.linuxtone.org/</td>
|
||||
</tr>
|
||||
<tr>
|
||||
<td>Copyright</td><td>Copyright (c) 2013- loveshell</td>
|
||||
</tr>
|
||||
<tr>
|
||||
<td>License</td><td>MIT License</td>
|
||||
</tr>
|
||||
</table>
|
||||
|
||||
感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人
|
||||
|
|
|
|||
|
|
@ -1,5 +0,0 @@
|
|||
if cc_deny then
|
||||
denyCC(cc_rate, cc_deny_seconds)
|
||||
else
|
||||
return
|
||||
end
|
||||
47
install.sh
47
install.sh
|
|
@ -1,47 +0,0 @@
|
|||
mkdir -p /data/src
|
||||
cd /data/src
|
||||
if [ ! -x "LuaJIT-2.0.0.tar.gz" ]; then
|
||||
wget http://luajit.org/download/LuaJIT-2.0.0.tar.gz
|
||||
fi
|
||||
tar zxvf LuaJIT-2.0.0.tar.gz
|
||||
cd LuaJIT-2.0.0
|
||||
make
|
||||
make install PREFIX=/usr/local/lj2
|
||||
ln -s /usr/local/lj2/lib/libluajit-5.1.so.2 /lib64/
|
||||
cd /data/src
|
||||
if [ ! -x "v0.2.17rc2.zip" ]; then
|
||||
wget https://github.com/simpl/ngx_devel_kit/archive/v0.2.17rc2.zip
|
||||
fi
|
||||
unzip v0.2.17rc2
|
||||
if [ ! -x "v0.7.4.zip" ]; then
|
||||
wget https://github.com/chaoslawful/lua-nginx-module/archive/v0.7.4.zip
|
||||
fi
|
||||
unzip v0.7.4
|
||||
cd /data/src
|
||||
if [ ! -x "pcre-8.10.tar.gz" ]; then
|
||||
wget http://blog.s135.com/soft/linux/nginx_php/pcre/pcre-8.10.tar.gz
|
||||
fi
|
||||
tar zxvf pcre-8.10.tar.gz
|
||||
cd pcre-8.10/
|
||||
./configure
|
||||
make && make install
|
||||
cd ..
|
||||
if [ ! -x "nginx-1.2.4.tar.gz" ]; then
|
||||
wget 'http://nginx.org/download/nginx-1.2.4.tar.gz'
|
||||
fi
|
||||
tar -xzvf nginx-1.2.4.tar.gz
|
||||
cd nginx-1.2.4/
|
||||
export LUAJIT_LIB=/usr/local/lj2/lib/
|
||||
export LUAJIT_INC=/usr/local/lj2/include/luajit-2.0/
|
||||
./configure --user=daemon --group=daemon --prefix=/usr/local/nginx/ --with-http_stub_status_module --with-http_sub_module --with-http_gzip_static_module --without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module --add-module=../ngx_devel_kit-0.2.17rc2/ --add-module=../lua-nginx-module-0.7.4/
|
||||
make -j8
|
||||
make install
|
||||
#rm -rf /data/src
|
||||
cd /usr/local/nginx/conf/
|
||||
wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip --no-check-certificate
|
||||
unzip master.zip
|
||||
mv ngx_lua_waf-master/* /usr/local/nginx/conf/
|
||||
rm -rf ngx_lua_waf-master
|
||||
rm -rf /data/src
|
||||
mkdir -p /data/logs/hack
|
||||
chmod -R 775 /data/logs/hack
|
||||
Loading…
Reference in New Issue