《Linux运维总结：Nginx添加Lua实现WAF防火墙》

落日映苍穹つ 2022-09-09 02:11 167阅读 0赞

### 文章目录 ###

*  一、背景介绍
 *  二、工具版本
 *  三、工具下载
 *  四、安装步骤
 *   *  4.1、编译安装Nginx
     *  4.2、安装LuaJIT
     *  4.3、下载解压ngx\_devel\_kit
     *  4.4、下载解压lua-nginx-module
     *  4.5、重新编译安装Nginx
     *  4.6、验证lua模块
     *  4.7、WAF模块安装
     *   *  4.7.1、下载waf模块
         *  4.7.2、在nginx.conf的http段添加
         *  4.7.3、配置config.lua
     *  4.8、简单验证
     *  4.8、测试ccdeny
 *  总结：整理不易，如果对你有帮助，可否点赞关注一下？

--------------------

# 一、背景介绍 #

**为了更好的防护系统，降低系统被攻击的可能性，在无第三方商业版web应用防火墙的前提下，针对nginx添加lua实现WAF防火墙。**

--------------------

# 二、工具版本 #

<table> 
 <thead> 
  <tr> 
   <th>nginx</th> 
   <th>luajit</th> 
   <th>ngx_devel_kit</th> 
   <th>lua-nginx-module</th> 
   <th>备注</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>V1.16.0</td> 
   <td>V2.2.1</td> 
   <td>v0.3.1</td> 
   <td>v0.10.14rc5</td> 
   <td>建议lua-nginx-module使用这个版本v0.10.14rc5</td> 
  </tr> 
 </tbody> 
</table>

**注意：这里需要特别强调一下，lua-nginx-module版本V0.10.20、V0.10.19 、V0.10.15均进行了尝试，均报如下错误，这里换成了v0.10.14rc5版本，则正常。**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16]

--------------------

# 三、工具下载 #

**[完整工具下载][Link 1]**

--------------------

# 四、安装步骤 #

## 4.1、编译安装Nginx ##

#1、安装依赖包
    yum install wget vim dos2unix lrzsz unzip zip -y
    yum -y install pcre-devel
    yum -y install openssl openssl-devel
    yum install gcc* -y
    
    #2、编译安装
    wget http://nginx.org/download/nginx-1.16.0.tar.gz
    tar axf nginx-1.16.0.tar.gz
    cd nginx-1.16.0
    ./configure --prefix=/usr/local/nginx \
    --with-http_ssl_module --with-http_v2_module \
    --with-http_stub_status_module --with-pcre --with-stream
    make && make install

**如下图所示：**  
![在这里插入图片描述][e8a627e6f2784efda2613ce0484ff250.png]

--------------------

## 4.2、安装LuaJIT ##

**LuaJIT的意思是Lua Just-In-Time，是即时的Lua代码解释器。必须去github下载否则运行是会出现报错，项目地址：https://github.com/openresty/luajit2**

#1、下载软件包
    wget https://github.com/openresty/luajit2/archive/refs/heads/v2.1-agentzh.zip
    unzip v2.1-agentzh.zip
    cd luajit2-2.1-agentzh
    make install PREFIX=/usr/local/luajit
    
    #2、添加环境变量
    vim /etc/profile
    export LUAJIT_LIB=/usr/local/luajit/lib
    export LUAJIT_INC=/usr/local/luajit/include/luajit-2.1
    source /etc/profile
    
    #3、加载lua库到ld.so.conf文件
    echo "/usr/local/luajit/lib/" >> /etc/ld.so.conf
    
    #4、执行ldconfig让动态函式库加载到缓存中
    ldconfig

**如下图所示，则表示编译成功**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 1]

--------------------

## 4.3、下载解压ngx\_devel\_kit ##

wget https://github.com/vision5/ngx_devel_kit/archive/v0.3.1.tar.gz
    tar axf v0.3.1.tar.gz

--------------------

## 4.4、下载解压lua-nginx-module ##

wget https://github.com/openresty/lua-nginx-module/archive/refs/tags/v0.10.14rc5.zip
    unzip v0.10.14rc5.zip

--------------------

## 4.5、重新编译安装Nginx ##

#1、备份（必须）
    cp -r /usr/local/nginx /usr/local/nginx_`date +%F`
    
    #2、重新编译安装
    ./configure --prefix=/usr/local/nginx \
    --with-http_ssl_module --with-http_v2_module \
    --with-http_stub_status_module --with-pcre --with-stream \
    --add-module=/data/pkgs/lua-nginx-module-0.10.14rc5 \
    --add-module=/data/pkgs/ngx_devel_kit-0.3.1
    make && make install

**如下图所示，则表示编译成功**  
![在这里插入图片描述][52052a7874c647c5a636cad9f3c28948.png]

--------------------

## 4.6、验证lua模块 ##

#1、调用lua测试，编辑Nginx.conf 添加/lua
    [root@localhost nginx-1.16.0]# vim /usr/local/nginx/conf/nginx.conf
            location /lua { 
                default_type 'text/plain';
                content_by_lua 'ngx.say("Hi,欢迎来到英雄联盟")';
            }
    
    [root@localhost nginx-1.16.0]# /usr/local/nginx/sbin/nginx -t
    nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
    nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
    [root@localhost nginx-1.16.0]# /usr/local/nginx/sbin/nginx

**如下图所示**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 2]  
**测试结果如下图：**  
![在这里插入图片描述][348df257f20c430b87e385f52b9e7dc3.png]

--------------------

## 4.7、WAF模块安装 ##

**项目地址：https://github.com/loveshell/ngx\_lua\_waf**

### 4.7.1、下载waf模块 ###

#1、下载waf模块
    wget https://github.com/loveshell/ngx_lua_waf/archive/refs/heads/master.zip
    unzip master.zip
    mkdir /usr/local/nginx/conf/waf
    mv ngx_lua_waf-master/* /usr/local/nginx/conf/waf

**如下图：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 3]

--------------------

### 4.7.2、在nginx.conf的http段添加 ###

vim /usr/local/nginx/conf/nginx.conf
        lua_shared_dict limit 50m;
        lua_package_path "/usr/local/nginx/conf/waf/?.lua";
        init_by_lua_file "/usr/local/nginx/conf/waf/init.lua";
        access_by_lua_file "/usr/local/nginx/conf/waf/waf.lua";

**如下图：**  
![在这里插入图片描述][bedd1a88e0d44ba18d65a2ca75d265ef.png]

--------------------

### 4.7.3、配置config.lua ###

**说明：根据实际情况修改config.lua文件。**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 4]

--------------------

## 4.8、简单验证 ##

**说明：过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割。**

浏览器访问：http://192.168.1.212/lua?id=1 or 1=1

**1、默认规则没有这点的防护，访问结果如下图所示：**  
![在这里插入图片描述][ea3237b3bd01492f964c84ecf5d6ec31.png]  
**2、配置规则**  
**在args规则中添加比如\\sor\\s+，然后/usr/local/nginx/sbin/nginx -s reload**

vim /usr/local/nginx/conf/waf/wafconf/args
    \sor\s+
    /usr/local/nginx/sbin/nginx -s reload

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 5]  
**3、配置规则防护后，访问结果如下图所示：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 6]

--------------------

## 4.8、测试ccdeny ##

yum install 
    ab -n1000 -c 100 http://192.168.1.212/lua

**1、不添加waf规则的时候，对网站进行ab压力测试，再次访问是没有问题的**

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 7]

**2、开启ccdeny防护规则**

vim /usr/local/nginx/conf/waf/config.lua
    CCDeny="on"  #开启ccdeny的功能 
    CCrate="100/60" #限制每分钟100次访问

**如下图所示：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 8]  
**3、通过ab工具对网站进行压力测试，再次访问就变成503了**  
**如下图所示：**  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 9]

--------------------

# 总结：整理不易，如果对你有帮助，可否点赞关注一下？ #

**更多详细内容请参考：[Linux运维实战总结][Linux]**

[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16]: /images/20220829/24fad73a76b8499b86009c94050204dc.png
[Link 1]: https://download.csdn.net/download/m0_37814112/21699786
[e8a627e6f2784efda2613ce0484ff250.png]: /images/20220829/f27df0b69bb54160832acd60c87cef70.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 1]: /images/20220829/414f53bff9d34edf8699fb21c97aa1b3.png
[52052a7874c647c5a636cad9f3c28948.png]: /images/20220829/0aacdb57b7714f90ad8155dd6eb9c9fe.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 2]: /images/20220829/ff2286d80ab44b39a56d4d701b380412.png
[348df257f20c430b87e385f52b9e7dc3.png]: /images/20220829/ae847914291c4905bb9b8b1a8aeb2f78.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 3]: /images/20220829/e4ba188d2a9c47f48addefc3fce323b9.png
[bedd1a88e0d44ba18d65a2ca75d265ef.png]: /images/20220829/e7665d5f9ed94ef295a4564969e9aee7.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 4]: /images/20220829/e3f64d344dd54c0b80a9bbc22fb824dc.png
[ea3237b3bd01492f964c84ecf5d6ec31.png]: /images/20220829/de0bf1a9c3b04c1cb165147c99532855.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 5]: /images/20220829/c3fcb6b72ccc4b2b91f8f02b6d42a3fa.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 6]: /images/20220829/df8261fe3a464f9e92a416611d3f930f.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 7]: /images/20220829/5a55e2ca51f640b78053d6f355b24d85.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 8]: /images/20220829/10a91b92c6e74f0798dc719bf0ad6feb.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5Lic5Z-O57ud56We_size_20_color_FFFFFF_t_70_g_se_x_16 9]: /images/20220829/9a7d6b48328a45258728e75d8ff94b7d.png
[Linux]: https://blog.csdn.net/m0_37814112/category_10867749.html?spm=1001.2014.3001.5482