From 71a2faeb48d93ccfa36567d456dfb7e2be0e0e15 Mon Sep 17 00:00:00 2001 From: xifeng Date: Tue, 16 Sep 2014 18:16:51 +0800 Subject: [PATCH 1/3] white url domain name --- README.md | 272 +++++++++++++++++++++++++++--------------------------- init.lua | 2 +- 2 files changed, 137 insertions(+), 137 deletions(-) diff --git a/README.md b/README.md index c600773..3fa96ed 100644 --- a/README.md +++ b/README.md @@ -1,136 +1,136 @@ -##ngx_lua_waf - -ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 - -代码很简单，开发初衷主要是使用简单，高性能和轻量级。 - -现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 - -###用途： - - 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 - 防止svn/备份之类文件泄漏 - 防止ApacheBench之类压力测试工具的攻击 - 屏蔽常见的扫描黑客工具，扫描器 - 屏蔽异常的网络请求 - 屏蔽图片附件类目录php执行权限 - 防止webshell上传 - -###推荐安装: - -推荐使用lujit2.1做lua支持 - -ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 - - -###使用说明： - -nginx安装路径假设为:/usr/local/nginx/conf/ - -把ngx_lua_waf下载到conf目录下,解压命名为waf - -在nginx.conf的http段添加 - - lua_package_path "/usr/local/nginx/conf/waf/?.lua"; - lua_shared_dict limit 10m; - init_by_lua_file /usr/local/nginx/conf/waf/init.lua; - access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; - -配置config.lua里的waf规则目录(一般在waf/conf/目录下) - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - -绝对路径如有变动，需对应修改 - -然后重启nginx即可 - - -###配置文件详细说明： - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - --规则存放目录 - attacklog = "off" - --是否开启攻击信息记录，需要配置logdir - logdir = "/usr/local/nginx/logs/hack/" - --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 - UrlDeny="on" - --是否拦截url访问 - Redirect="on" - --是否拦截后重定向 - CookieMatch = "on" - --是否拦截cookie攻击 - postMatch = "on" - --是否拦截post攻击 - whiteModule = "on" - --是否开启URL白名单 - ipWhitelist={"127.0.0.1"} - --ip白名单，多个ip用逗号分隔 - ipBlocklist={"1.0.0.1"} - --ip黑名单，多个ip用逗号分隔 - CCDeny="on" - --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) - CCrate = "100/60" - --设置cc攻击频率，单位为秒. - --默认1分钟同一个IP只能请求同一个地址100次 - html=[[Please go away~~]] - --警告内容,可在中括号内自定义 - 备注:不要乱动双引号，区分大小写 - -###检查规则是否生效 - -部署完毕可以尝试如下命令： - - curl http://xxxx/test.php?id=../etc/passwd - 返回"Please go away~~"字样，说明规则生效。 - -注意:默认，本机在白名单不过滤，可自行调整config.lua配置 - - -###效果图如下： - -![sec](http://i.imgur.com/wTgOcm2.png) - -![sec](http://i.imgur.com/DqU30au.png) - -###规则更新： - -考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 - -规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 - -只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 - -###一些说明： - - 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 - - global是全局过滤文件，里面的规则对post和get都过滤 - get是只在get请求过滤的规则 - post是只在post请求过滤的规则 - whitelist是白名单，里面的url匹配到不做过滤 - user-agent是对user-agent的过滤规则 - - - 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 - - 日志文件名称格式如下:虚拟主机名_sec.log - - -## Copyright - - - - - - - - - - - - - - -
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
- -感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 +##ngx_lua_waf + +ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 + +代码很简单，开发初衷主要是使用简单，高性能和轻量级。 + +现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 + +###用途： + + 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 + 防止svn/备份之类文件泄漏 + 防止ApacheBench之类压力测试工具的攻击 + 屏蔽常见的扫描黑客工具，扫描器 + 屏蔽异常的网络请求 + 屏蔽图片附件类目录php执行权限 + 防止webshell上传 + +###推荐安装: + +推荐使用lujit2.1做lua支持 + +ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 + + +###使用说明： + +nginx安装路径假设为:/usr/local/nginx/conf/ + +把ngx_lua_waf下载到conf目录下,解压命名为waf + +在nginx.conf的http段添加 + + lua_package_path "/usr/local/nginx/conf/waf/?.lua"; + lua_shared_dict limit 10m; + init_by_lua_file /usr/local/nginx/conf/waf/init.lua; + access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; + +配置config.lua里的waf规则目录(一般在waf/conf/目录下) + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + +绝对路径如有变动，需对应修改 + +然后重启nginx即可 + + +###配置文件详细说明： + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + --规则存放目录 + attacklog = "off" + --是否开启攻击信息记录，需要配置logdir + logdir = "/usr/local/nginx/logs/hack/" + --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 + UrlDeny="on" + --是否拦截url访问 + Redirect="on" + --是否拦截后重定向 + CookieMatch = "on" + --是否拦截cookie攻击 + postMatch = "on" + --是否拦截post攻击 + whiteModule = "on" + --是否开启URL白名单 + ipWhitelist={"127.0.0.1"} + --ip白名单，多个ip用逗号分隔 + ipBlocklist={"1.0.0.1"} + --ip黑名单，多个ip用逗号分隔 + CCDeny="on" + --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) + CCrate = "100/60" + --设置cc攻击频率，单位为秒. + --默认1分钟同一个IP只能请求同一个地址100次 + html=[[Please go away~~]] + --警告内容,可在中括号内自定义 + 备注:不要乱动双引号，区分大小写 + +###检查规则是否生效 + +部署完毕可以尝试如下命令： + + curl http://xxxx/test.php?id=../etc/passwd + 返回"Please go away~~"字样，说明规则生效。 + +注意:默认，本机在白名单不过滤，可自行调整config.lua配置 + + +###效果图如下： + +![sec](http://i.imgur.com/wTgOcm2.png) + +![sec](http://i.imgur.com/DqU30au.png) + +###规则更新： + +考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 + +规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 + +只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 + +###一些说明： + + 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 + + global是全局过滤文件，里面的规则对post和get都过滤 + get是只在get请求过滤的规则 + post是只在post请求过滤的规则 + whitelist是白名单，里面的url匹配到不做过滤 + user-agent是对user-agent的过滤规则 + + + 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 + + 日志文件名称格式如下:虚拟主机名_sec.log + + +## Copyright + + + + + + + + + + + + + + +
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
+ +感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 diff --git a/init.lua b/init.lua index ee2a29f..71737ad 100644 --- a/init.lua +++ b/init.lua @@ -80,7 +80,7 @@ function whiteurl() if WhiteCheck then if wturlrules ~=nil then for _,rule in pairs(wturlrules) do - if ngxmatch(ngx.var.request_uri,rule,"imjo") then + if ngxmatch(ngx.var.host .. ngx.var.request_uri,rule,"imjo") then return true end end From 226c4086638c1890316242b3dc9d2069c23d5b09 Mon Sep 17 00:00:00 2001 From: xifeng Date: Tue, 16 Sep 2014 18:19:17 +0800 Subject: [PATCH 2/3] add http code return --- config.lua | 1 + init.lua | 2 +- 2 files changed, 2 insertions(+), 1 deletion(-) diff --git a/config.lua b/config.lua index d555456..8d9b9d3 100644 --- a/config.lua +++ b/config.lua @@ -11,3 +11,4 @@ ipBlocklist={"1.0.0.1"} CCDeny="off" CCrate="100/60" html=[[Please go away~~ ]] +code=403 diff --git a/init.lua b/init.lua index 71737ad..e1fa264 100644 --- a/init.lua +++ b/init.lua @@ -72,7 +72,7 @@ function say_html() if Redirect then ngx.header.content_type = "text/html" ngx.say(html) - ngx.exit(200) + ngx.exit(code) end end From 3056102e11a4cca07b2df10f1b20ceb7bc7c9ccf Mon Sep 17 00:00:00 2001 From: xifeng Date: Tue, 16 Sep 2014 18:43:04 +0800 Subject: [PATCH 3/3] status code to 200 --- config.lua | 1 - init.lua | 2 +- 2 files changed, 1 insertion(+), 2 deletions(-) diff --git a/config.lua b/config.lua index 8d9b9d3..d555456 100644 --- a/config.lua +++ b/config.lua @@ -11,4 +11,3 @@ ipBlocklist={"1.0.0.1"} CCDeny="off" CCrate="100/60" html=[[Please go away~~ ]] -code=403 diff --git a/init.lua b/init.lua index e1fa264..71737ad 100644 --- a/init.lua +++ b/init.lua @@ -72,7 +72,7 @@ function say_html() if Redirect then ngx.header.content_type = "text/html" ngx.say(html) - ngx.exit(code) + ngx.exit(200) end end