开源nginx_lua_waf部署安装
0x01 前言
ngx_lua_waf实现 WAF一句话描述，就是解析HTTP请求（协议解析模块），规则检测（规则模块），做不同的防御动作（动作模块），并将防御过程（日志模块）记录下来。所以本文中的WAF的实现由五个模块(配置模块、协议解析模块、规则模块、动作模块、错误处理模块）组成。
原版本主要的功能如下：
1.防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 2.防止svn/备份之类文件泄漏 3.防止ApacheBench之类压力测试工具的攻击 4.屏蔽常见的扫描黑客工具，扫描器 5.屏蔽异常的网络请求 6.屏蔽图片附件类目录php执行权限 7.防止webshell上传
二次改造后的规则拦截功能：
1.支持IP白名单和黑名单功能，直接将黑名单的IP访问拒绝。 2.支持URL白名单，将不需要过滤的URL进行定义。 3.支持User-Agent的过滤，匹配自定义规则中的条目，然后进行处理（返回403）。 4.支持CC攻击防护，单个URL指定时间的访问次数，超过设定值，直接返回403。 5.支持Cookie过滤，匹配自定义规则中的条目，然后进行处理（返回403）。 6.支持URL过滤，匹配自定义规则中的条目，如果用户请求的URL包含这些，返回403。 7.支持URL参数过滤，原理同上。 8.支持日志记录，将所有拒绝的操作，记录到日志中去。 9.日志记录为JSON格式，便于日志分析，例如使用ELKStack进行攻击日志收集、存储、搜索和展示
0x02 Nginx + Lua部署
系统环境：centos7.0x64
1.进入到/usr/local/src目录下
[root@localhost src]# cd /usr/local/src
2.分别下载Nginx安装必备的Nginx和PCRE软件包以及当前最新的luajit和ngx_devel_kit (NDK)软件包和春哥编写的lua-nginx-module。
[root@localhost src]# wget http://nginx.org/download/nginx-1.9.4.tar.gz [root@localhost src]#wget https://ftp.pcre.org/pub/pcre/pcre-8.37.tar.gz --no-check-certificate
[root@localhost src]#wget http://luajit.org/download/LuaJIT-2.0.4.tar.gz [root@localhost src]# wget https://github.com/openresty/lua-nginx-module/archive/v0.9.16.tar.gz --no-check-certificate [root@localhost src]# wget https://github.com/simpl/ngx_devel_kit/archive/v0.2.19.tar.gz --no-check-certificate
3. 创建Nginx运行的普通用户
[root@nginx-lua src]# useradd -s /sbin/nologin -M www
4.分别在当前目录下解压已下载的软件包
[root@localhost src]# tar zxvf v0.2.19.tar.gz [root@localhost src]# tar zxvf v0.9.16.tar.gz
[root@localhost src]# tar zxvf pcre-8.37.tar.gz
[root@localhost src]# tar zxvf LuaJIT-2.0.4.tar.gz
5. 安装Luajit以及需要编译的gcc编译环境。
[root@localhost src]# cd LuaJIT-2.0.3 [root@localhost src]#yum install gcc [root@localhost src]# make && make install
6. 安装Nginx并加载模块以及需要编译的openssl模块和c++模块。
[root@localhost LuaJIT-2.0.4]# cd .. [root@localhost src]# tar zxvfnginx-1.9.4.tar.gz
[root@localhost src]# export LUAJIT_LIB=/usr/local/lib [root@localhost src]# export LUAJIT_INC=/usr/local/include/luajit-2.0
[root@localhost nginx-1.9.4]# yum -y install openssl openssl-devel
[root@localhost nginx-1.9.4]# ./configure --prefix=/usr/local/nginx --user=www --group=www --with-http_ssl_module --with-http_stub_status_module --with-file-aio --with-http_dav_module --add-module=../ngx_devel_kit-0.2.19/ --add-module=../lua-nginx-module-0.9.16/ --with-pcre=/usr/local/src/pcre-8.37/
[root@localhost nginx-1.9.4]# yum -y install gcc-c++
[root@localhost nginx-1.9.4]# make -j2 && make install
7. 创建软连接动态库连接
[root@localhost nginx-1.9.4]# ln -s /usr/local/lib/libluajit-5.1.so.2 /lib64/libluajit-5.1.so.2
8.启动nginx服务
root@localhost nginx-1.9.4]# /usr/local/nginx/sbin/nginx-t [root@localhost nginx-1.9.4]# /usr/local/nginx/sbin/nginx
9关闭centos7自带的防火墙
[root@localhost nginx-1.9.4]# sed -i 7s/enforcing/disabled/ /etc/selinux/config [root@localhost nginx-1.9.4]# systemctl stop firewalld.service
10.远程访问http:// 172.16.89.145,显示页面如下，表示已成功安装nginx
11.安装git服务
[root@localhost src]# yum install git
12.克隆下载ngx_lua_waf, nginx安装路径假设为:/usr/local/nginx/conf/
把ngx_lua_waf下载到conf目录下,解压命名为waf
[root@localhost src]# git clone https://github.com/loveshell/ngx_lua_waf.git [root@localhost ngx_lua_waf]# cd /usr/local/nginx/conf/ [root@localhost conf]# mkdir waf
[root@localhost ngx_lua_waf]#cp -R /usr/local/src/ngx_lua_waf/* /usr/local/nginx/conf/waf/
注意，其主要目录信息如下：
├── config.lua #waf的配置文件 ├── init.lua #读取waf的规则文件 ├── install.sh #waf安装文件，需要做修改 ├── README.md #说明文档 ├── wafconf #规则库 │ ├── args #get请求的参数过滤规则 │ ├── cookie #cookie过滤规则 │ ├── post #post请求过滤规则 │ ├── url #get请求的URL过滤规则 │ ├── user-agent #user-agent过滤规则 │ └── whiteurl #白名单 └── waf.lua #waf规则执行文件
13.在nginx.conf中的http段进行配置
[root@localhost waf]# vi /usr/local/nginx/conf/nginx.conf
大概的配置信息如下,Nginx.conf:
lua_package_path "/usr/local/nginx/conf/waf/?.lua"; lua_shared_dict limit 10m; init_by_lua_file/usr/local/nginx/conf/waf/init.lua; access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;
14.修改ngx_lua_waf下的config.lua文件
root@localhost waf]# vi /usr/local/nginx/conf/waf/config.lua
[root@localhost logs]# mkdir waf
配置详细信息如下,config.lua:
RulePath = "/usr/local/nginx/conf/waf/wafconf/" --规则存放目录 attacklog = "off" --是否开启攻击信息记录，需要配置logdir logdir = "/usr/local/nginx/logs/waf/" --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 UrlDeny="on" --是否拦截url访问 Redirect="on" --是否拦截后重定向 CookieMatch = "on" --是否拦截cookie攻击 postMatch = "on" --是否拦截post攻击 whiteModule = "on" --是否开启URL白名单 black_fileExt={"php","jsp"} --填写不允许上传文件后缀类型 ipWhitelist={"127.0.0.1"} --ip白名单，多个ip用逗号分隔 ipBlocklist={"1.0.0.1"} --ip黑名单，多个ip用逗号分隔 CCDeny="on" --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) CCrate = "100/60" --设置cc攻击频率，单位为秒. --默认1分钟同一个IP只能请求同一个地址100次 html=[[Please go away~~]] --警告内容,可在中括号内自定义 备注:不要乱动双引号，区分大小写
15.重启nginx服务
/usr/local/nginx/sbin/nginx -s reload
16.访问带恶意的连接地址，出现如下信息表示ngx_lua_waf已部署成功。
http://172.16.89.145/?s=../etc/passwd
0x03 记录WAF日志拦截记录
1.给logs日志记录添加授权用户www(该用户是nginx运行的用户)。
[root@localhost waf]# chown -R www.www /usr/local/nginx/logs/waf/
2.给logs目录进行添加写入权限。
[root@localhost waf]# chmod 700/usr/local/nginx/logs/waf/
3.可查看WAF记录的日志信息
[root@localhost waf]# cat localhost_2018-06-05_sec.log
0x04 其他规则说明
过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 args里面的规则get参数进行过滤的 url是只在get请求url过滤的规则 post是只在post请求过滤的规则 whitelist是白名单，里面的url匹配到不做过滤 user-agent是对user-agent的过滤规则 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可日志文件名称格式如下:虚拟主机名_sec.log
0x05 总结
1.Nginx_lua_waf总体来说功能强大，相比其他软件防火墙Modsecurity还稍微简单点。
2.Ngx_lua_waf的bug主要就是防火墙策略写的不严谨导致的，会造成两种结果：一是部分***通过伪装绕过防火墙；二是防火墙策略配置不当会造成误杀。
3.另外根据站点的类型需要配置不同的策略，默认配置后全局生效。比如论坛等比较特殊允许很多html插入，这样的策略需要更宽松。
4.最后生成的hack记录日志可以通过ELK分析，ELK这边需要根据日志格式制作特殊模版，此模版能兼容大部分日志类型，还有少部分完全没有规律的日志分析不了。
5.最后ELK能展示日志分析结果分类，但是还不能区分各种ruletag类型***属于哪一种直白的表示出来。
6.最后建议ngx_lua_waf如果真的要用可以考虑在部分源站站点少量试用，前端站点不建议使用，等对该软件理解深入后才可线上使用。
7.补充：目前对ngx_lua_waf拒绝特定的user agent、拒绝特定后缀文件访问、防止sql注入三大类比较熟悉。
计划大概实施步骤：
1.不要一次性部署上线，先部署后，只记录日志，然后观察和调整规则，保证正常的请求不会被误防。
2.使用SaltStack管理规则库的更新。
3.使用ELKStack进行日志收集和分析，非常方便的可以在Kibana上做出一个漂亮的统计的饼图。（目前也能实现）
