一、了解WAF

使用Nginx+Lua實現waf

軟件包需求：

1 、Nginx兼容性【最后測試到1.13.6】

wget http://nginx.org/download/nginx-1.13.6.tar.gz

2 、PCRE為Nginx編譯安裝關系的依賴

wget https://jaist.dl.sourceforge.net/project/pcre/pcre/8.42/pcre-8.42.tar.gz

3 、下載luajit解釋器和ngx_devel_kit以及lua-nginx-module模塊

wget http://luajit.org/download/LuaJIT-2.0.5.tar.gz
wget https://github.com/simplresty/ngx_devel_kit/archive/v0.3.0.tar.gz
wget https://github.com/openresty/lua-nginx-module/archive/v0.10.13.tar.gz

4 、文件解壓：

tar xf nginx-1.13.6.tar.gz pcre-8.42.tar.gz LuaJIT-2.0.5.tar.gz v0.3.0.tar.gz v0.10.13.tar.gz

5 、安裝LuaJIT Luajit是Lua即時編譯器

cd LuaJIT-2.0.5/make && make install 

6 、添加環境變量

export LUAJIT_LIB=/usr/local/lib
export LUAJIT_INC=/usr/local/include/luajit-2.0

7 、安裝Nginx並加載模塊【注意目錄位置以及版本】

• --prefix=/usr/local/nginx-1.13.6 # nginx 安裝目錄
• --with-pcre=/usr/local/src/pcre-8.42 # pcre 所在目錄
• --add-module=../ngx_devel_kit-0.3.0/ # ngx_devel_kit 所在目錄
• --add-module=../lua-nginx-module-0.10.13/ # lua-nginx-module 所在目錄
• -j2 調用編譯CPU的核數

cd nginx-1.13.6/./configure --user=www --group=www --prefix=/usr/local/nginx-1.13.6 --with-pcre=/usr/local/src/pcre-8.42 --with-http_stub_status_module --with-http_sub_module --with-http_gzip_static_module --without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module  --add-module=../ngx_devel_kit-0.3.0/ --add-module=../lua-nginx-module-0.10.13/make -j2 && make install

8 、添加鏈接文件

ln -s /usr/local/nginx-1.13.6 /usr/local/nginx
ln -s /usr/local/lib/libluajit-5.1.so.2 /lib64/libluajit-5.1.so.2  #一定創建此軟連接，否則報錯

應用配置

1 ）調用lua測試，編輯Nginx.conf 添加/hello

vim /usr/local/nginx/conf/nginx.conf

        location /hello {
                default_type 'text/plain';
                content_by_lua 'ngx.say("hello,lua")';
        }

2 ）語法檢查並啟動

/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx

curl 192.168.55.110/hello
hello,lua      正常

WAF部署

1 ）下載waf源碼：

cd /usr/local/nginx/conf/
git clone https://github.com/loveshell/ngx_lua_waf.git
mv ngx_lua_waf/ waf 

2 ）文件注釋

config.lua     # 配置文件
init.lua       # 規則函數
waf.lua        # 邏輯關系
# wafconf      # 正則匹配關系目錄
wafconf/args           # 里面的規則get參數進行過濾的
wafconf/url            # 是只在get請求url過濾的規則       
wafconf/post           # 是只在post請求過濾的規則     
wafconf/whitelist      # 是白名單，里面的url匹配到不做過濾     
wafconf/user-agent     # 是對user-agent的過濾規則

3 ）config.lua 注釋：

RulePath = "/usr/local/nginx/conf/waf/wafconf/"
--規則存放目錄
attacklog = "off"
--是否開啟攻擊信息記錄，需要配置logdir
logdir = "/usr/local/nginx/logs/hack/"
--log存儲目錄，該目錄需要用戶自己新建，切需要nginx用戶的可寫權限
UrlDeny="on"
--是否攔截url訪問
Redirect="on"
--是否攔截后重定向
CookieMatch = "on"
--是否攔截cookie攻擊
postMatch = "on" 
--是否攔截post攻擊
whiteModule = "on" 
--是否開啟URL白名單
black_fileExt={"php","jsp"}
--填寫不允許上傳文件后綴類型
ipWhitelist={"127.0.0.1"}
--ip白名單，多個ip用逗號分隔
ipBlocklist={"1.0.0.1"}
--ip黑名單，多個ip用逗號分隔
CCDeny="on"
--是否開啟攔截cc攻擊(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
CCrate = "100/60"
--設置cc攻擊頻率，單位為秒.
--默認1分鍾同一個IP只能請求同一個地址100次
html=[[Please go away~~]]
--警告內容,可在中括號內自定義
備注:不要亂動雙引號，區分大小寫

4 ）修改Nginx配置文件引用WAF功能【http段加入】

    lua_shared_dict limit 50m;
    lua_package_path "/usr/local/nginx/conf/waf/?.lua";
    init_by_lua_file "/usr/local/nginx/conf/waf/init.lua";
    access_by_lua_file "/usr/local/nginx/conf/waf/waf.lua";

5 ）詳情：

cat nginx.conf

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;
    lua_shared_dict limit 50m;
    lua_package_path "/usr/local/nginx/conf/waf/?.lua";
    init_by_lua_file "/usr/local/nginx/conf/waf/init.lua";
    access_by_lua_file "/usr/local/nginx/conf/waf/waf.lua";
    server {
        listen       80;
        server_name  localhost;
        location / {
            root   html;
            index  index.html index.htm;
        }
        location /hello {
                default_type 'text/plain';
                content_by_lua 'ngx.say("hello,lua")';
        }
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }
    }
}

6 ）創建日志目錄給予www用戶權限：

mkdir /usr/local/nginx/logs/hack/
chown www.www /usr/local/nginx/logs/hack/

7 ）啟動Nginx 並測試：

/usr/local/nginx/sbin/nginx -t
/usr/local/nginx/sbin/nginx -s reload 

8 ）測試是否阻止請求：

http://192.168.55.110/hello?id=../etc/passwd

9 ）通過ab模仿cc攻擊：

[root@nq waf]# ab -c 100 -n 1200 http://192.168.55.110/hello

其他

一個頁面版WAF--VeryNginx： https://github.com/alexazhou/VeryNginx

知識點：

#啟動服務
/opt/verynginx/openresty/nginx/sbin/nginx

#停止服務
/opt/verynginx/openresty/nginx/sbin/nginx -s stop

#重啟服務
/opt/verynginx/openresty/nginx/sbin/nginx -s reload

web密碼配置：
/opt/verynginx/verynginx/lua_script/VeryNginxConfig.lua

Nginx 配置文件nginx.conf
/opt/verynginx/openresty/nginx/conf/nginx.conf

規則配置：
/opt/verynginx/verynginx/configs/config.json

#################################################################################################