开源nginx_lua_waf部署安装

迈不过友情╰ 2024-04-07 10:58 71阅读 0赞

### **0x01** **前言** ###

ngx\_lua\_waf实现 WAF一句话描述，就是解析HTTP请求(协议解析模块)，规则检测(规则模块)，做不同的防御动作(动作模块)，并将防御过程(日志模块)记录下来。所以本文中的WAF的实现由五个模块(配置模块、协议解析模块、规则模块、动作模块、错误处理模块)组成。

原版本主要的功能如下：

1.防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击
    
    2.防止svn/备份之类文件泄漏
    
    3.防止ApacheBench之类压力测试工具的攻击
    
    4.屏蔽常见的扫描黑客工具，扫描器
    
    5.屏蔽异常的网络请求
    
    6.屏蔽图片附件类目录php执行权限
    
    7.防止webshell上传

二次改造后的规则拦截功能：

1.支持IP白名单和黑名单功能，直接将黑名单的IP访问拒绝。
    
    2.支持URL白名单，将不需要过滤的URL进行定义。
    
    3.支持User-Agent的过滤，匹配自定义规则中的条目，然后进行处理(返回403)。
    
    4.支持CC攻击防护，单个URL指定时间的访问次数，超过设定值，直接返回403。
    
    5.支持Cookie过滤，匹配自定义规则中的条目，然后进行处理(返回403)。
    
    6.支持URL过滤，匹配自定义规则中的条目，如果用户请求的URL包含这些，返回403。
    
    7.支持URL参数过滤，原理同上。
    
    8.支持日志记录，将所有拒绝的操作，记录到日志中去。
    
    9.日志记录为JSON格式，便于日志分析，例如使用ELKStack进行攻击日志收集、存储、搜索和展示

### **0x02Nginx + Lua****部署** ###

系统环境：centos7.0x64

1.进入到/usr/local/src目录下

[root@localhost src]# cd /usr/local/src

2.分别下载Nginx安装必备的Nginx和PCRE软件包以及当前最新的luajit和ngx\_devel\_kit (NDK)软件包和春哥编写的lua-nginx-module。

[root@localhost src]# wget http://nginx.org/download/nginx-1.9.4.tar.gz
    
    [root@localhost src]#wget https://ftp.pcre.org/pub/pcre/pcre-8.37.tar.gz  --no-check-certificate

![a9cb9a0c83e6e67495f5fc950388f34d.jpeg][]

![f28bc926d5efe44d1d43506b105b9873.jpeg][]

[root@localhost src]#wget http://luajit.org/download/LuaJIT-2.0.4.tar.gz
    
    [root@localhost src]#
    
    wget https://github.com/openresty/lua-nginx-module/archive/v0.9.16.tar.gz  --no-check-certificate
    
    [root@localhost src]#
    
    wget https://github.com/simpl/ngx_devel_kit/archive/v0.2.19.tar.gz  --no-check-certificate

![c93770dbfefed1a7119ed9bae58131d3.jpeg][]

![c436ab746f0b7185700f0a392001a8e0.jpeg][]

![b34dce214290227989e8dadc9b8062b8.jpeg][]

3. 创建Nginx运行的普通用户

[root@nginx-lua src]# useradd -s /sbin/nologin -M www

4.分别在当前目录下解压已下载的软件包

[root@localhost src]# tar zxvf v0.2.19.tar.gz
    
    [root@localhost src]# tar zxvf v0.9.16.tar.gz

![4554f3bdf24c04326c4c486e77ba953b.jpeg][]

![e52b2afa79d066ffa19f743a4c3190bc.jpeg][]

[root@localhost src]# tar  zxvf pcre-8.37.tar.gz

![7cd8e7baebda0cb17edb160629f52d9e.jpeg][]

[root@localhost src]# tar zxvf LuaJIT-2.0.4.tar.gz

5. 安装Luajit以及需要编译的gcc编译环境。

[root@localhost src]# cd LuaJIT-2.0.3
    
    [root@localhost src]#yum install gcc
    
    [root@localhost src]# make && make install

![9e972beeb3ecaa51d0539d6128bb363a.jpeg][]

![25d06c7df7627a3d7eec7785406cd487.jpeg][]

![1049983-20180807202733771-1793752859.jpg][]

6. 安装Nginx并加载模块以及需要编译的openssl模块和c++模块。

[root@localhost LuaJIT-2.0.4]# cd ..
    
    [root@localhost src]# tar  zxvfnginx-1.9.4.tar.gz

![4c790e73e0442f9e3a733677ce99d9ea.jpeg][]

[root@localhost src]# export LUAJIT_LIB=/usr/local/lib
    
    [root@localhost src]# export LUAJIT_INC=/usr/local/include/luajit-2.0

![bcc593d7e485d4dfdbb2ed78c84c3cb6.jpeg][]

[root@localhost nginx-1.9.4]# yum -y install openssl openssl-devel

![e5bd6eef04d3c79c208387320ed510d2.jpeg][]

[root@localhost nginx-1.9.4]# ./configure --prefix=/usr/local/nginx --user=www --group=www     --with-http_ssl_module --with-http_stub_status_module --with-file-aio --with-http_dav_module  --add-module=../ngx_devel_kit-0.2.19/  --add-module=../lua-nginx-module-0.9.16/    --with-pcre=/usr/local/src/pcre-8.37/

![371be02db2b38c988b6bf78789478482.jpeg][]

[root@localhost nginx-1.9.4]# yum -y install gcc-c++

![77423156c15141fcc51b4e389bb8ba42.jpeg][]

[root@localhost nginx-1.9.4]# make -j2 && make install

![01f6540ab1148391a4d88d416f7e5bcc.jpeg][]

7. 创建软连接动态库连接

[root@localhost nginx-1.9.4]#  ln -s /usr/local/lib/libluajit-5.1.so.2 /lib64/libluajit-5.1.so.2

![b6b9685a7890a680de15e6ad475d495f.jpeg][]

8.启动nginx服务

root@localhost nginx-1.9.4]# /usr/local/nginx/sbin/nginx-t
    
    [root@localhost nginx-1.9.4]# /usr/local/nginx/sbin/nginx

![a752f094f3213720826b0a5722be9df4.jpeg][]

9关闭centos7自带的防火墙

[root@localhost nginx-1.9.4]#  sed -i 7s/enforcing/disabled/ /etc/selinux/config
    
    [root@localhost nginx-1.9.4]#  systemctl stop firewalld.service

![3d6ddfa64491fb3c2b9c597ffdad71b2.jpeg][]

10.远程访问http:// 172.16.89.145,显示页面如下，表示已成功安装nginx

![2e1398b37401f1960fabe8fd0a2e3510.jpeg][]

11.安装git服务

[root@localhost src]# yum install git

![c97f4f3f8344c4821b50016b9f6f4e44.jpeg][]

![8532ced05cb3af17274be8880fe494bd.jpeg][]

12.克隆下载ngx\_lua\_waf, nginx安装路径假设为:/usr/local/nginx/conf/

把ngx\_lua\_waf下载到conf目录下,解压命名为waf

[root@localhost src]# git clone https://github.com/loveshell/ngx_lua_waf.git
    
    [root@localhost ngx_lua_waf]# cd /usr/local/nginx/conf/
    
    [root@localhost conf]# mkdir  waf

![002f44c6c5700b553461108e7897fdba.jpeg][]

[root@localhost ngx_lua_waf]#cp -R /usr/local/src/ngx_lua_waf/*   /usr/local/nginx/conf/waf/

![64c17f07712824b02b0b901bfe8bd4dc.jpeg][]

![af3784a3c8988605fa9b91ec832c3dd9.jpeg][]

注意，其主要目录信息如下：

├── config.lua          #waf的配置文件
    ├── init.lua            #读取waf的规则文件
    ├── install.sh            #waf安装文件，需要做修改
    ├── README.md        #说明文档
    ├── wafconf            #规则库
    │   ├── args            #get请求的参数过滤规则
    │   ├── cookie        #cookie过滤规则
    │   ├── post            #post请求过滤规则
    │   ├── url            #get请求的URL过滤规则
    │   ├── user-agent        #user-agent过滤规则
    │   └── whiteurl        #白名单
    └── waf.lua            #waf规则执行文件

13.在nginx.conf中的http段进行配置

[root@localhost waf]# vi /usr/local/nginx/conf/nginx.conf

大概的配置信息如下,Nginx.conf:

lua_package_path "/usr/local/nginx/conf/waf/?.lua";
    
    lua_shared_dict limit 10m;
    
    init_by_lua_file/usr/local/nginx/conf/waf/init.lua;
    
    access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;

![9a3ba34fb319beb6c2a8a255854430a9.jpeg][]

14.修改ngx\_lua\_waf下的config.lua文件

root@localhost waf]# vi /usr/local/nginx/conf/waf/config.lua
    
    [root@localhost logs]# mkdir waf

![782521672a0354cd58a98eaa78e807a3.jpeg][]

![1a0579ccdb3f096e4018fa34f09768e6.jpeg][]

配置详细信息如下,config.lua:

RulePath = "/usr/local/nginx/conf/waf/wafconf/"
        --规则存放目录
        attacklog = "off"
        --是否开启攻击信息记录，需要配置logdir
        logdir = "/usr/local/nginx/logs/waf/"
        --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限
        UrlDeny="on"
        --是否拦截url访问
        Redirect="on"
        --是否拦截后重定向
        CookieMatch = "on"
        --是否拦截cookie攻击
        postMatch = "on" 
        --是否拦截post攻击
        whiteModule = "on" 
        --是否开启URL白名单
        black_fileExt={
         "php","jsp"}
        --填写不允许上传文件后缀类型
        ipWhitelist={
         "127.0.0.1"}
        --ip白名单，多个ip用逗号分隔
        ipBlocklist={
         "1.0.0.1"}
        --ip黑名单，多个ip用逗号分隔
        CCDeny="on"
        --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
        CCrate = "100/60"
        --设置cc攻击频率，单位为秒.
        --默认1分钟同一个IP只能请求同一个地址100次
        html=[[Please go away~~]]
        --警告内容,可在中括号内自定义
        备注:不要乱动双引号，区分大小写

15.重启nginx服务

/usr/local/nginx/sbin/nginx   -s     reload

16.访问带恶意的连接地址，出现如下信息表示ngx\_lua\_waf已部署成功。

http://172.16.89.145/?s=../etc/passwd

![aa1b4ab734fca198044ddac4579f105b.jpeg][]

### **0x03** **记录WAF日志拦截记录** ###

1.给logs日志记录添加授权用户www(该用户是nginx运行的用户)。

[root@localhost waf]# chown  -R www.www   /usr/local/nginx/logs/waf/

2.给logs目录进行添加写入权限。

[root@localhost waf]# chmod  700/usr/local/nginx/logs/waf/

3.可查看WAF记录的日志信息

[root@localhost waf]# cat localhost_2018-06-05_sec.log

![e8310f104fa56aa96478f4690df6819b.jpeg][]

### **0x04** **其他规则说明** ###

过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割
                   args里面的规则get参数进行过滤的
                   url是只在get请求url过滤的规则                      
                   post是只在post请求过滤的规则                       
                   whitelist是白名单，里面的url匹配到不做过滤                 
                   user-agent是对user-agent的过滤规则
    默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可日志文件名称格式如下:虚拟主机名_sec.log

### **0x05** **总结** ###

1.Nginx_lua_waf总体来说功能强大，相比其他软件防火墙Modsecurity还稍微简单点。

2.Ngx_lua_waf的bug主要就是防火墙策略写的不严谨导致的，会造成两种结果：一是部分***通过伪装绕过防火墙；二是防火墙策略配置不当会造成误杀。

3.另外根据站点的类型需要配置不同的策略，默认配置后全局生效。比如论坛等比较特殊允许很多html插入，这样的策略需要更宽松。

4.最后生成的hack记录日志可以通过ELK分析，ELK这边需要根据日志格式制作特殊模版，此模版能兼容大部分日志类型，还有少部分完全没有规律的日志分析不了。

5.最后ELK能展示日志分析结果分类，但是还不能区分各种ruletag类型***属于哪一种直白的表示出来。

6.最后建议ngx_lua_waf如果真的要用可以考虑在部分源站站点少量试用，前端站点不建议使用，等对该软件理解深入后才可线上使用。

7.补充：目前对ngx_lua_waf拒绝特定的user agent、拒绝特定后缀文件访问、防止sql注入三大类比较熟悉。

计划大概实施步骤：

1.不要一次性部署上线，先部署后，只记录日志，然后观察和调整规则，保证正常的请求不会被误防。

2.使用SaltStack管理规则库的更新。

3.使用ELKStack进行日志收集和分析，非常方便的可以在Kibana上做出一个漂亮的统计的饼图。(目前也能实现)

[a9cb9a0c83e6e67495f5fc950388f34d.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5832ec6dd64b483eb61182b80a163ece.jpeg
[f28bc926d5efe44d1d43506b105b9873.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b43af3588e2d4b7789a10444d4579a35.jpeg
[c93770dbfefed1a7119ed9bae58131d3.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/e1abac648d844e9ca4462c013de27b9a.jpeg
[c436ab746f0b7185700f0a392001a8e0.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/638c7691f84d48c79d4805a28adfbd0d.jpeg
[b34dce214290227989e8dadc9b8062b8.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/de961ca505374e28a14913e5fcea2212.jpeg
[4554f3bdf24c04326c4c486e77ba953b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f02c6f8b3d384e9da112cea59c51b366.jpeg
[e52b2afa79d066ffa19f743a4c3190bc.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a07cb33964764f0bbaa270ab525b0e13.jpeg
[7cd8e7baebda0cb17edb160629f52d9e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/79fc183c6da341aaac178d79ed54301d.jpeg
[9e972beeb3ecaa51d0539d6128bb363a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/16b84ad8767848ef9f8c9c8bb3adacf7.jpeg
[25d06c7df7627a3d7eec7785406cd487.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b37b4ba233cb4770b616a3d105676b3e.jpeg
[1049983-20180807202733771-1793752859.jpg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b0a90b67804c43e9a5f6cbead2de2b49.jpg
[4c790e73e0442f9e3a733677ce99d9ea.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/414fa641ed4a4bc5be1b73d873f5544d.jpeg
[bcc593d7e485d4dfdbb2ed78c84c3cb6.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cd603e6f57d54743ac319ba2e323c49c.jpeg
[e5bd6eef04d3c79c208387320ed510d2.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f56b6011ec1c44988739a66844716356.jpeg
[371be02db2b38c988b6bf78789478482.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/995e766f46a4457fa0f337e223449f32.jpeg
[77423156c15141fcc51b4e389bb8ba42.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/f7f785c31a91445fb8f790e515c63615.jpeg
[01f6540ab1148391a4d88d416f7e5bcc.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4104c2ce00f5457cac00bffcf7448351.jpeg
[b6b9685a7890a680de15e6ad475d495f.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/49af5ac6b7254de88d0c008d6611f5c8.jpeg
[a752f094f3213720826b0a5722be9df4.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/aece0b68045f4ce69208897f8ac79456.jpeg
[3d6ddfa64491fb3c2b9c597ffdad71b2.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/921949ef8d364db0b3d19911277da752.jpeg
[2e1398b37401f1960fabe8fd0a2e3510.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d078d0f6824b4ed2aa1bd32b5b63ec6b.jpeg
[c97f4f3f8344c4821b50016b9f6f4e44.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/0a8277399a8e45f8bfec85352012896f.jpeg
[8532ced05cb3af17274be8880fe494bd.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d1c38827c66e492abb4324af53f12e44.jpeg
[002f44c6c5700b553461108e7897fdba.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ab205d3d2a3a4fcbac3df2a7fd496097.jpeg
[64c17f07712824b02b0b901bfe8bd4dc.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d48b2a76b4e64d9a9c9c7491c9e74982.jpeg
[af3784a3c8988605fa9b91ec832c3dd9.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a8339a6320054dfebeeed25fd7516860.jpeg
[9a3ba34fb319beb6c2a8a255854430a9.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/375eb878ab7c4621bf972a53935fa47f.jpeg
[782521672a0354cd58a98eaa78e807a3.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/54a305ba464a48569425f19625b96969.jpeg
[1a0579ccdb3f096e4018fa34f09768e6.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/62d99a765a0c4b94ad113b390814c535.jpeg
[aa1b4ab734fca198044ddac4579f105b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/62af99a978684d17a9ff651d9540a48a.jpeg
[e8310f104fa56aa96478f4690df6819b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c8d3979a7802414e9152c894818484d4.jpeg