LNMP安装ngx_lua_waf waf(web应用防火墙) 教程 教你开启WAF保护

2020/04/27 22:22 · 博客专区/技术教程 ·  原创文章 · 77阅读 · 0评论
摘要:

WAF 中文名是 Web 应用防火墙, WAF 能够根据规则拦截 SQL 注入、恶意请求、黑客扫描等 HTTP 请求从而保护 WEB 应用的安全。而 ngx_lua_waf 是一个基于 lua-nginx-module(openresty) 的 web 应用防火墙。

项目地址:https://github.com/loveshell/ngx_lua_waf

1. 主要用途:

(1) 防止 sql 注入,本地包含,部分溢出,fuzzing 测试,xss,SSRF 等 web 攻击(2) 防止 svn/备份之类文件泄漏(3) 防止 ApacheBench 之类压力测试工具的攻击(4) 屏蔽常见的扫描黑客工具,扫描器(5) 屏蔽异常的网络请求(6) 屏蔽图片附件类目录 php 执行权限(7) 防止 webshell 上传

2. lua 支持安装

由于文字咖使用的是军哥一键 LNMP 安装包,LNMP 一键安装包从 1.5 开始增加了 lua 支持的选项,可以通过修改 lnmp.conf 中 Enable_Nginx_Lua 后的参数为 y 来启用 lua !(1) 如果没安装 lnmp ,修改 lnmp.conf 后保存,安装完 lnmp 就是支持 lua 了;(2) 如果已经安装好 lnmp ,也是按前面修改 lnmp.conf ,然后 lnmp 安装包目录下 ./upgrade.sh nginx 升级 nginx,输入当前 nginx 版本号或更新的 nginx 版本号,升级完成就是支持 lua 的了。

3. 安装 ngx_lua_waf

wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip -O ngx_lua_waf.zip

unzip ngx_lua_waf.zip

mv ngx_lua_waf–master /usr/local/nginx/conf/waf

4. nginx 上设置并启用 ngx_lua_waf

编辑 /usr/local/nginx/conf/nginx.conf 在 server_tokens off; 下面添加如下代码:

lua_package_path “/usr/local/nginx/conf/waf/?.lua”;

lua_shared_dict limit 10m;

init_by_lua_file /usr/local/nginx/conf/waf/init.lua;

修改完成保存!

5. 添加到网站

如果我们需要添加到某个网站,则只需要在当前网站 .conf 文件中 server 段,在该 server 段中 root 网站目录行下面添加如下代码:

access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

测试 nginx 配置文件:/usr/local/nginx/sbin/nginx -t重载 ngin x配置生效:/usr/local/nginx/sbin/nginx -s reload

如果测试和重载都没报错就已经生效。

6. 测试是否生效

可以通过访问 http://域名/test.php?id=../etc/passwd 看是否会出现下面提示:如果出现上图提示,说明已经正确设置!

7. WAF参数修改设置

ngx_lua_waf 配置文件位置:/usr/local/nginx/conf/waf/config.lua

ngx_lua_waf 配置文件参数说明:

RulePath = “/usr/local/nginx/conf/waf/wafconf/”

–规则存放目录

attacklog = “off”

–是否开启攻击信息记录,需要配置logdir

logdir = “/usr/local/nginx/logs/hack/”

—log存储目录,该目录需要用户自己新建,切需要nginx用户的可写权限

UrlDeny=“on”

–是否拦截url访问

Redirect=“on”

–是否拦截后重定向

CookieMatch = “on”

–是否拦截cookie攻击

postMatch = “on”

–是否拦截post攻击

whiteModule = “on”

–是否开启URL白名单

black_fileExt={“php”,“jsp”}

–填写不允许上传文件后缀类型

ipWhitelist={“127.0.0.1”}

—ip白名单,多个ip用逗号分隔

ipBlocklist={“1.0.0.1”}

—ip黑名单,多个ip用逗号分隔

CCDeny=“on”

–是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m

WAF 中文名是 Web 应用防火墙, WAF 能够根据规则拦截 SQL 注入、恶意请求、黑客扫描等 HTTP 请求从而保护 WEB 应用的安全。而 ngx_lua_waf 是一个基于 lua-Nginx-module(openresty) 的 web 应用防火墙。

项目地址:https://github.com/loveshell/ngx_lua_waf

1. 主要用途:

(1) 防止 sql 注入,本地包含,部分溢出,fuzzing 测试,xss,SSRF 等 web 攻击(2) 防止 svn/备份之类文件泄漏(3) 防止 ApacheBench 之类压力测试工具的攻击(4) 屏蔽常见的扫描黑客工具,扫描器(5) 屏蔽异常的网络请求(6) 屏蔽图片附件类目录 php 执行权限(7) 防止 webshell 上传

2. lua 支持安装

由于文字咖使用的是军哥一键 LNMP 安装包LNMP 一键安装包从 1.5 开始增加了 lua 支持的选项,可以通过修改 lnmp.conf 中 Enable_Nginx_Lua 后的参数为 y 来启用 lua !(1) 如果没安装 lnmp ,修改 lnmp.conf 后保存,安装完 lnmp 就是支持 lua 了;(2) 如果已经安装好 lnmp ,也是按前面修改 lnmp.conf ,然后 lnmp 安装包目录下 ./upgrade.sh nginx 升级 nginx,输入当前 nginx 版本号或更新的 nginx 版本号,升级完成就是支持 lua 的了。

3. 安装 ngx_lua_waf

wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip -O ngx_lua_waf.zip

unzip ngx_lua_waf.zip

mv ngx_lua_waf–master /usr/local/nginx/conf/waf

4. nginx 上设置并启用 ngx_lua_waf

编辑 /usr/local/nginx/conf/nginx.conf 在 server_tokens off; 下面添加如下代码

lua_package_path “/usr/local/nginx/conf/waf/?.lua”;

lua_shared_dict limit 10m;

init_by_lua_file /usr/local/nginx/conf/waf/init.lua;

修改完成保存!

5. 添加到网站

如果我们需要添加到某个网站,则只需要在当前网站 .conf 文件中 server 段,在该 server 段中 root 网站目录行下面添加如下代码:

access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

测试 nginx 配置文件:/usr/local/nginx/sbin/nginx -t重载 ngin x配置生效:/usr/local/nginx/sbin/nginx -s reload

如果测试和重载都没报错就已经生效。LNMP安装ngx_lua_waf waf(web应用防火墙) 教程 教你开启WAF保护 第2张

6. 测试是否生效

可以通过访问 http://域名/test.php?id=../etc/passwd 看是否会出现下面提示:如果出现上图提示,说明已经正确设置!

7. WAF参数修改设置

ngx_lua_waf 配置文件位置:/usr/local/nginx/conf/waf/config.lua

ngx_lua_waf 配置文件参数说明:

RulePath = “/usr/local/nginx/conf/waf/wafconf/”

–规则存放目录

attacklog = “off”

–是否开启攻击信息记录,需要配置logdir

logdir = “/usr/local/nginx/logs/hack/”

—log存储目录,该目录需要用户自己新建,切需要nginx用户的可写权限

UrlDeny=“on”

–是否拦截url访问

Redirect=“on”

–是否拦截后重定向

CookieMatch = “on”

–是否拦截cookie攻击

postMatch = “on”

–是否拦截post攻击

whiteModule = “on”

–是否开启URL白名单

black_fileExt={“php”,“jsp”}

–填写不允许上传文件后缀类型

ipWhitelist={“127.0.0.1”}

—ip白名单,多个ip用逗号分隔

ipBlocklist={“1.0.0.1”}

—ip黑名单,多个ip用逗号分隔

CCDeny=“on”

–是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m

您可能感兴趣的文章

本文地址:https://www.lan2020.cn/lnmp%e5%ae%89%e8%a3%85ngx_lua_waf-wafweb%e5%ba%94%e7%94%a8%e9%98%b2%e7%81%ab%e5%a2%99-%e6%95%99%e7%a8%8b-%e6%95%99%e4%bd%a0%e5%bc%80%e5%90%afwaf%e4%bf%9d%e6%8a%a4/
文章标签: ,   ,  
版权声明:本文为原创文章,版权归 澜溪 所有,欢迎分享本文,转载请保留出处!不保留出处后果自负!谢谢合作

文件下载

阿里云·云小站,新老用户同享,1核2G云服务器低至89元/年,229元/3年;2核4G3M3年639元

上一篇:
下一篇:

 发表评论

您必须 登录 才能发表留言哦!