nginx + lua 構建網站防護waf（一）

標籤：支援   系統   pre   ip訪問   ada   img   項目   ext   bin   

最近在幫朋友維護一個網站。這個網站是一個Php網站。坑爹的是用IIS做代理。出了無數問題之後忍無可忍，於是要我幫他切換到nginx上面，前期被不斷的掃描和CC。最後找到了waf這樣一個解決方案緩解一下。話不多說直接開始。

 

waf的作用：

防止sql注入，當地套件含，部分溢出，fuzzing測試，xss,SSRF等web攻擊防止svn/備份之類檔案泄漏防止ApacheBench之類壓力測試工具的攻擊屏蔽常見的掃描駭客工具，掃描器屏蔽異常的網路請求屏蔽圖片附件類目錄php執行許可權防止webshell上傳

nginx 的話我選擇春哥開源的：OpenResty一個偉大的項目。

 

好了步驟開始：

 

1、安裝Luagit:

# wget http://luajit.org/download/LuaJIT-2.1.0-beta1.tar.gz

# tar -xvf LuaJIT-2.1.0-beta1.tar.gz

# cd LuaJIT-2.1.0-beta1

# make

# make install

#ln -sf luajit-2.1.0-beta1 /usr/local/bin/luajit

 

2、安裝openresty:

 ./configure --prefix=/opt/openresty   --with-luajit     --without-http_redis2_module       --with-http_iconv_module

gmake

gmake install

 

3、測試openresty:

[[email protected] ngx_lua_waf]# cd /opt/openresty/nginx/conf/

[[email protected] conf]# cat nginx.conf

http {

    server { 

        listen 80;

        location / {

                 default_type text/html;

              content_by_lua_block {

                  ngx.say("HelloWorld")

                            }

                 }

     }

}

###

測試一下訪問是否輸出hello world，後面應該會有一些列的簡介。

[[email protected]www conf]# curl localhost

HelloWorld

 

4、下載開源項目：

[[email protected] nginx]# cd /opt/openresty/nginx/

[[email protected] nginx]# git clone https://github.com/loveshell/ngx_lua_waf.git

 

5、然後修改nginx添加配置，支援lua指令碼地址，在http段位置：

lua_package_path "/opt/openresty/nginx/ngx_lua_waf/?.lua";  ###相關項目存放地址

lua_shared_dict limit 10m;                       ###存放limit表的大小

init_by_lua_file  /opt/openresty/nginx/ngx_lua_waf/init.lua; ###相應地址

access_by_lua_file /opt/openresty/nginx/ngx_lua_waf/waf.lua; ##相應地址

 

6、修改ngx_lua_waf相關配置：

[[email protected] ngx_lua_waf]# vim config.lua 

RulePath = "/opt/openresty/nginx/ngx_lua_waf/wafconf/"   ##指定相應位置

attacklog = "on"                            ##開啟日誌

logdir = "/opt/openresty/nginx/logs/hack/"           ##日誌存放位置

UrlDeny="on"                              ##是否開啟URL防護

Redirect="on"                             ##地址重新導向

CookieMatch="on"                           ##cookie攔截

postMatch="on"                            ##post攔截

whiteModule="on"                           ##白名單

black_fileExt={"php","jsp"}                        

ipWhitelist={"127.0.0.1"}                    ##白名單IP

ipBlocklist={"1.0.0.1"}                     ##黑名單IP

CCDeny="on"                             ##開啟CC防護        

CCrate="100/60"                          ##60秒內允許同一個IP訪問100次

 

7、建立日誌存放目錄：

[[email protected] ngx_lua_waf]#mkdir /opt/openresty/nginx/logs/hack/

[[email protected] ngx_lua_waf]#chown -R nobody:nobody /opt/openresty/nginx/logs/hack/

 

8、啟動nginx測試：

[[email protected] logs]# /opt/openresty/nginx/sbin/nginx 

 

9、網頁訪問一條測試：

 

10、壓力測試CC攻擊：

把congfig.lua的頻率改成如下：

CCDeny="on"

CCrate="50/60"

測試結果：

[[email protected] ngx_lua_waf]# ab -c 100 -n 100 http://192.168.63.242/index.heml

This is ApacheBench, Version 2.3

Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/

Licensed to The Apache Software Foundation, http://www.apache.org/

 

Benchmarking 192.168.63.242 (be patient).....done

 

 

Server Software:        openresty/1.11.2.2

Server Hostname:        192.168.63.242

Server Port:            80

 

Document Path:          /index.heml

Document Length:        2078 bytes

 

Concurrency Level:      100

Time taken for tests:   0.052 seconds

Complete requests:      100

Failed requests:        49      ###因為做了現在，所以這麼多是失敗的。

 

 

到處已經構建成功了一套waf防禦系統，非常感謝loveshell提供這麼棒的waf開源項目，還有春哥的openresty.

原文地址：http://www.roncoo.com/article/detail/126294

 

nginx + lua 構建網站防護waf（一）