From 6ef88ea3987aaf28806e19a175fe0fef87fee192 Mon Sep 17 00:00:00 2001 From: ibuler Date: Sun, 19 Jun 2016 11:20:15 +0800 Subject: [PATCH] =?UTF-8?q?=E5=88=A0=E9=99=A4=E6=B2=A1=E7=94=A8=E6=96=87?= =?UTF-8?q?=E4=BB=B6?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- README.md | 151 +++++++---------------------------------------------- access.lua | 5 -- install.sh | 47 ----------------- 3 files changed, 19 insertions(+), 184 deletions(-) delete mode 100644 access.lua delete mode 100644 install.sh diff --git a/README.md b/README.md index 69fbff3..a49a8a5 100644 --- a/README.md +++ b/README.md @@ -1,138 +1,25 @@ -##ngx_lua_waf +## ngx_lua_waf +基于 loveshell [nginx-lua-waf](https://github.com/loveshell/ngx_lua_waf)更改 -ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 +### 使用方法: +1. nginx安装lua模块，不再详述 +2. nginx.conf 添加参数 + lua_package_path /data/server/nginx/conf/waf/?.lua; # 模块位置 + lua_shared_dict limit 10m; # 设置lua使用内存, 根据访问量设置合适值 +3. location或server设置访问控制 + access_by_lua_file /data/server/nginx/conf/waf/entry.lua; # 可以copy一份到不同的配置中，单独修改其配置文件 -代码很简单，开发初衷主要是使用简单，高性能和轻量级。 - -现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 - -###用途： - - 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 - 防止svn/备份之类文件泄漏 - 防止ApacheBench之类压力测试工具的攻击 - 屏蔽常见的扫描黑客工具，扫描器 - 屏蔽异常的网络请求 - 屏蔽图片附件类目录php执行权限 - 防止webshell上传 - -###推荐安装: - -推荐使用lujit2.1做lua支持 - -ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 +## 文件说明 +- config.lua 默认配置文件 +- entry.lua access控制入口样例文件 +- init.lua 函数所在文件，都会调用该文件 +- wafconf 暂时没有使用，将来开发继续完成 -###使用说明： - -nginx安装路径假设为:/usr/local/nginx/conf/ - -把ngx_lua_waf下载到conf目录下,解压命名为waf - -在nginx.conf的http段添加 - - lua_package_path "/usr/local/nginx/conf/waf/?.lua"; - lua_shared_dict limit 10m; - init_by_lua_file /usr/local/nginx/conf/waf/init.lua; - access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; - -配置config.lua里的waf规则目录(一般在waf/conf/目录下) - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - -绝对路径如有变动，需对应修改 - -然后重启nginx即可 +### 参数说明 +- debug: 调试阶段开始debug，显示debug信息 +- cc_deny: 开启cc_deny，控制访问量 +- cc_rate: 10/60 意思为 60s内访问10次，超过频率会被block掉 +- cc_deny_seconds: 达到阈值后，禁止访问的时间 -###配置文件详细说明： - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - --规则存放目录 - attacklog = "off" - --是否开启攻击信息记录，需要配置logdir - logdir = "/usr/local/nginx/logs/hack/" - --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 - UrlDeny="on" - --是否拦截url访问 - Redirect="on" - --是否拦截后重定向 - CookieMatch = "on" - --是否拦截cookie攻击 - postMatch = "on" - --是否拦截post攻击 - whiteModule = "on" - --是否开启URL白名单 - black_fileExt={"php","jsp"} - --填写可上传文件后缀类型 - ipWhitelist={"127.0.0.1"} - --ip白名单，多个ip用逗号分隔 - ipBlocklist={"1.0.0.1"} - --ip黑名单，多个ip用逗号分隔 - CCDeny="on" - --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) - CCrate = "100/60" - --设置cc攻击频率，单位为秒. - --默认1分钟同一个IP只能请求同一个地址100次 - html=[[Please go away~~]] - --警告内容,可在中括号内自定义 - 备注:不要乱动双引号，区分大小写 - -###检查规则是否生效 - -部署完毕可以尝试如下命令： - - curl http://xxxx/test.php?id=../etc/passwd - 返回"Please go away~~"字样，说明规则生效。 - -注意:默认，本机在白名单不过滤，可自行调整config.lua配置 - - -###效果图如下： - -![sec](http://i.imgur.com/wTgOcm2.png) - -![sec](http://i.imgur.com/DqU30au.png) - -###规则更新： - -考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 - -规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 - -只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 - -###一些说明： - - 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 - - global是全局过滤文件，里面的规则对post和get都过滤 - get是只在get请求过滤的规则 - post是只在post请求过滤的规则 - whitelist是白名单，里面的url匹配到不做过滤 - user-agent是对user-agent的过滤规则 - - - 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 - - 日志文件名称格式如下:虚拟主机名_sec.log - - -## Copyright - - - - - - - - - - - - - - -
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
- -感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 diff --git a/access.lua b/access.lua deleted file mode 100644 index 509701d..0000000 --- a/access.lua +++ /dev/null @@ -1,5 +0,0 @@ -if cc_deny then - denyCC(cc_rate, cc_deny_seconds) -else - return -end diff --git a/install.sh b/install.sh deleted file mode 100644 index 40f187c..0000000 --- a/install.sh +++ /dev/null @@ -1,47 +0,0 @@ -mkdir -p /data/src -cd /data/src -if [ ! -x "LuaJIT-2.0.0.tar.gz" ]; then -wget http://luajit.org/download/LuaJIT-2.0.0.tar.gz -fi -tar zxvf LuaJIT-2.0.0.tar.gz -cd LuaJIT-2.0.0 -make -make install PREFIX=/usr/local/lj2 -ln -s /usr/local/lj2/lib/libluajit-5.1.so.2 /lib64/ -cd /data/src -if [ ! -x "v0.2.17rc2.zip" ]; then -wget https://github.com/simpl/ngx_devel_kit/archive/v0.2.17rc2.zip -fi -unzip v0.2.17rc2 -if [ ! -x "v0.7.4.zip" ]; then -wget https://github.com/chaoslawful/lua-nginx-module/archive/v0.7.4.zip -fi -unzip v0.7.4 -cd /data/src -if [ ! -x "pcre-8.10.tar.gz" ]; then -wget http://blog.s135.com/soft/linux/nginx_php/pcre/pcre-8.10.tar.gz -fi -tar zxvf pcre-8.10.tar.gz -cd pcre-8.10/ -./configure -make && make install -cd .. -if [ ! -x "nginx-1.2.4.tar.gz" ]; then -wget 'http://nginx.org/download/nginx-1.2.4.tar.gz' -fi -tar -xzvf nginx-1.2.4.tar.gz -cd nginx-1.2.4/ -export LUAJIT_LIB=/usr/local/lj2/lib/ -export LUAJIT_INC=/usr/local/lj2/include/luajit-2.0/ -./configure --user=daemon --group=daemon --prefix=/usr/local/nginx/ --with-http_stub_status_module --with-http_sub_module --with-http_gzip_static_module --without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module --add-module=../ngx_devel_kit-0.2.17rc2/ --add-module=../lua-nginx-module-0.7.4/ -make -j8 -make install -#rm -rf /data/src -cd /usr/local/nginx/conf/ -wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip --no-check-certificate -unzip master.zip -mv ngx_lua_waf-master/* /usr/local/nginx/conf/ -rm -rf ngx_lua_waf-master -rm -rf /data/src -mkdir -p /data/logs/hack -chmod -R 775 /data/logs/hack