Lua モジュールを使用して WAF を実装する Nginx の原理の分析

yum -y gccをインストール gcc-c++ autoconf automake make unzip
yum -y インストール zlib zlib-devel openssl openssl-devel pcre pcre-devel

# ディレクトリに入る cd /usr/local/src/
 
# LuaJIT2.0をダウンロード
http://luajit.org/download/LuaJIT-2.0.5.tar.gz をダウンロードしてください
 
# 解凍 tar xf LuaJIT-2.0.5.tar.gz && cd LuaJIT-2.0.5
 
# コンパイルする
 
# インストール make install PREFIX=/usr/local/lj2
 
# ソフトリンクを作成 ln -s /usr/local/lj2/lib/libluajit-5.1.so.2 /lib64/
 
# 環境変数を追加 export LUAJIT_LIB=/usr/local/lj2/lib/
LUAJIT_INC=/usr/local/lj2/include/luajit-2.0/ をエクスポートします。

# ディレクトリに入る cd /user/local/src/
 
# v0.3.0.tar.gz をダウンロード
https://github.com/simplresty/ngx_devel_kit/archive/v0.3.0.tar.gz -O ngx_devel_kit.tar.gz を取得します。
 
# tar xf ngx_devel_kit.tar.gz を解凍します

# ディレクトリに入る cd /user/local/src/
 
# v0.10.9rc7.tar.gz をダウンロード
https://github.com/openresty/lua-nginx-module/archive/v0.10.9rc7.tar.gz を取得します。
 
# tar -xzvf v0.10.9rc7.tar.gz を解凍します

# ディレクトリに入る cd /user/local/src/
 
# ダウンロード wget http://nginx.org/download/nginx-1.21.0.tar.gz
 
# tar xf nginx-1.21.0.tar.gz を解凍します
 
# nginxディレクトリに入る cd nginx-1.21.0
 
# コンパイル ./configure --prefix=/usr/local/nginx --with-http_ssl_module --with-http_flv_module --with-http_stub_status_module --with-http_gzip_static_module --with-http_realip_module --with-pcre --add-module=/usr/local/src/lua-nginx-module-0.10.9rc7 --add-module=/usr/local/src/ngx_devel_kit-0.3.0 --with-stream
 
# インストール make && make install
 
# nginx 設定を追加し、サーバーブロックに次の内容を追加します [root@localhost_test_192.168.10.132 11:04:48 ~]# vim /usr/local/nginx/conf/nginx.conf
 
場所 /lua {
    デフォルトタイプ 'text/plain';
 
    content_by_lua 'ngx.say("hello, lua")';
}
 
# 構文をチェック [root@localhost_test_192.168.10.132 09:59:33 /usr/local/src]# nginx -t
nginx: 設定ファイル /usr/local/nginx/conf/nginx.conf の構文は正常です
nginx: 設定ファイル /usr/local/nginx/conf/nginx.conf のテストが成功しました
 
# [root@localhost_test_192.168.10.132 11:08:35 ~]# nginx を起動します
 
# テスト curl 127.0.0.1:80/lua

# ディレクトリに入る cd /user/local/src/
 
# ngx_lua_waf を conf ディレクトリにダウンロードします wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip
 
# 解凍してwafという名前を付ける
マスター.zip を解凍 -d /usr/local/nginx/conf/
 
# ディレクトリ名を変更する mv /usr/local/nginx/conf/ngx_lua_waf-master /usr/local/nginx/conf/waf
 
# nginx.conf の http セクションに lua_package_path "/usr/local/nginx/conf/waf/?.lua" を追加します。
lua_shared_dict 制限 10m;
init_by_lua_file /usr/local/nginx/conf/waf/init.lua;
アクセスバイluaファイル /usr/local/nginx/conf/waf/waf.lua;
 
# nginx.conf の最外部レイヤーにユーザー www を追加します。
 
# ログディレクトリを作成する mkdir /usr/local/nginx/logs/hack
chown www /usr/local/nginx/logs/hack
 
# Lua_waf 設定 [root@localhost_test_192.168.10.132 11:33:53 /usr/local/nginx/conf/waf]# cat config.lua
#ルール保存パス RulePath = "/usr/local/nginx/conf/waf/wafconf/"
# 攻撃情報のログ記録を有効にするかどうか、logdir を設定する必要があります
攻撃ログ = "オン"
# ログ保存ディレクトリ。ユーザーが作成する必要があり、nginx ユーザーの書き込み権限が必要です。logdir = "/usr/local/nginx/logs/hack/"
# URL アクセスをブロックするかどうか UrlDeny="on"
# 傍受後にリダイレクトするかどうか Redirect="on"
# クッキー攻撃を阻止するかどうか CookieMatch="on"
# ポスト攻撃をインターセプトするかどうか postMatch="on"
# URL ホワイトリストを有効にするかどうか whiteModule="on"
# アップロードが許可されていないファイル拡張子タイプを入力します black_fileExt={"php","jsp"}
#ip ホワイトリスト、複数の IP はカンマで区切られます ipWhitelist={"127.0.0.1"}
#ip ブラックリスト、複数の IP はカンマで区切られます ipBlocklist={"192.168.10.1"}
# cc 攻撃の傍受を有効にするかどうか (nginx.conf の http セクションに lua_shared_dict limit 10m を追加する必要があります)
CCDeny="オフ"
# CC 攻撃の頻度を秒単位で設定します。
# デフォルトでは、同じ IP は同じアドレスを 1 分間に 100 回しかリクエストできません CCrate="100/60"
# 警告内容 html = []
 
# ルールファイル [root@localhost_test_192.168.10.132 11:42:12 /usr/local/nginx/conf/waf]# ll wafconf/
合計 24
-rw-r--r-- 1 ルート ルート 749 2016年4月6日 引数
-rw-r--r-- 1 ルート ルート 652 2016年4月6日 クッキー
-rw-r--r-- 1 ルート ルート 733 2016年4月6日投稿
-rw-r--r-- 1 ルート ルート 335 2016年4月6日 url
-rw-r--r-- 1 ルート ルート 177 2016年4月6日 ユーザーエージェント
-rw-r--r-- 1 ルート ルート 8 2016年4月6日 whiteurl
 
args のルールは次のとおりです: get パラメータ フィルタリング、cookie フィルタリングはリクエスト フィルタリング用の cookie フィルタリング、url フィルタリングは get リクエスト url のみをフィルタリングするルール、post フィルタリングは post リクエストのみをフィルタリングするルール、whiteurl はホワイトリストで、その中の url はフィルタリングなしで一致します、user-agent は user-agent のフィルタリング ルールです # Nginx をロードします
[root@localhost_test_192.168.10.132 11:32:41]# nginx -s リロード