WAF安全应用防火墙(openresty部署)

一、了解WAF

1、定义
Web应用防护系统（也称：网站应用级入侵防御系统 。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用 防火墙 是通过执行一系列针对http/https的 安全策略 来专门为Web应用提供保护的一款产品。

2、WAF的功能
支持IP白名单和黑名单功能，直接将黑名单的IP访问拒绝。
支持URL白名单，将不需要过滤的URL进行定义。
支持User-Agent的过滤，匹配自定义规则中的条目，然后进行处理（返回403）。
支持CC攻击防护，单个URL指定时间的访问次数，超过设定值，直接返回403。
支持Cookie过滤，匹配自定义规则中的条目，然后进行处理（返回403）。
支持URL过滤，匹配自定义规则中的条目，如果用户请求的URL包含这些，返回403。
支持URL参数过滤，原理同上。
支持日志记录，将所有拒绝的操作，记录到日志中去

3、WAF的特点
①异常检测协议
Web应用防火墙会对HTTP的请求进行异常检测，拒绝不符合HTTP标准的请求。并且，它也可以只允许HTTP协议的部分选项通过，从而减少攻击的影响范围。甚至，一些Web应用防火墙还可以严格限定HTTP协议中那些过于松散或未被完全制定的选项。

②增强的输入验证
增强输入验证，可以有效防止网页篡改、信息泄露、木马植入等恶意网络入侵行为。从而减小Web服务器被攻击的可能性。
③及时补丁
修补Web安全漏洞，是Web应用开发者最头痛的问题，没人会知道下一秒有什么样的漏洞出现，会为Web应用带来什么样的危害。WAF可以为我们做这项工作了——只要有全面的漏洞信息WAF能在不到一个小时的时间内屏蔽掉这个漏洞。当然，这种屏蔽掉漏洞的方式不是非常完美的，并且没有安装对应的补丁本身就是一种安全威胁，但我们在没有选择的情况下，任何保护措施都比没有保护措施更好。
④基于规则的保护和基于异常的保护
基于规则的保护可以提供各种Web应用的安全规则，WAF生产商会维护这个规则库，并时时为其更新。用户可以按照这些规则对应用进行全方面检测。还有的产品可以基于合法应用数据建立模型，并以此为依据判断应用数据的异常。但这需要对用户企业的应用具有十分透彻的了解才可能做到，可现实中这是十分困难的一件事情。
⑤状态管理
⑥WAF能够判断用户是否是第一次访问并且将请求重定向到默认登录页面并且记录事件。通过检测用户的整个操作行为我们可以更容易识别攻击。状态管理模式还能检测出异常事件（比如登陆失败），并且在达到极限值时进行处理。这对暴力攻击的识别和响应是十分有利的。
⑦其他防护技术
WAF还有一些安全增强的功能，可以用来解决WEB程序员过分信任输入数据带来的问题。比如：隐藏表单域保护、抗入侵规避技术、响应监视和信息泄露保护。

4、WAF与网络防火墙的区别
　　网络防火墙作为访问控制设备，主要工作在OSI模型三、四层，基于IP报文进行检测。只是对端口做限制，对TCP协议做封堵。其产品设计无需理解HTTP会话，也就决定了无法理解Web应用程序语言如HTML、SQL语言。因此，它不可能对HTTP通讯进行输入验证或攻击规则分析。针对Web网站的恶意攻击绝大部分都将封装为HTTP请求，从80或443端口顺利通过防火墙检测。
　　一些定位比较综合、提供丰富功能的防火墙，也具备一定程度的应用层防御能力，如能根据TCP会话异常性及攻击特征阻止网络层的攻击，通过IP分拆和组合也能判断是否有攻击隐藏在多个数据包中，但从根本上说他仍然无法理解HTTP会话，难以应对如SQL注入、跨站脚本、cookie窃取、网页篡改等应用层攻击。
　　web应用防火墙能在应用层理解分析HTTP会话，因此能有效的防止各类应用层攻击，同时他向下兼容，具备网络防火墙的功能。

二、使用nginx配置简单实现403和404

1、小试身手之rerurn 403
修改nginx配置文件在server中加入以下内容

set $block_user_agent 0;
if ( $http_user_agent ~ "Wget|AgentBench"){
set $block_user_agent 1;
     }
if ($block_user_agent = 1) {
return 403 ;
   }

wget测试

2、小试身手之rerurn 404

在nginx配置文件中加入如下内容，让访问sql|bak|zip|tgz|tar.gz的请求返回404

location ~* "\.(sql|bak|zip|tgz|tar.gz)$"{
return 404;
 }

在网站根目录下放一个a.sql，测试结果如下，404已生效

三、深入实现WAF

1、WAF实现规划
分析步骤如下：解析http请求–>匹配规则–>防御动作–>记录日志
具体实现如下：
解析http请求：协议解析模块
匹配规则：规则检测模块，匹配规则库
防御动作：return 403 或者跳转到自定义界面
日志记录：可以记录到elk中，画出饼图，建议使用json格式

2、使用openResty配置waf防火墙,不需要编译nginx

①安装依赖包和创建nginx运行的普通用户

[root@linux-node1 ~]# yum install -y readline-devel pcre-devel openssl-devel
[root@linux-node1 src]# useradd -s /sbin/nologin -M www

②下载当前最新的luajit，并编译

[root@linux-node1 ~]# cd /usr/local/src/
[root@linux-node1 src]# wget http://luajit.org/download/LuaJIT-2.0.5.tar.gz
[root@linux-node1 src]# tar -xzf LuaJIT-2.0.5.tar.gz 
[root@linux-node1 src]# cd LuaJIT-2.0.5
[root@linux-node1 LuaJIT-2.0.5]# make && make install
[root@linux-node1 LuaJIT-2.0.5]# export LUAJIT_LIB=/usr/local/lib
[root@linux-node1 LuaJIT-2.0.5]# export LUAJIT_INC=/usr/local/include/luajit-2.0
[root@linux-node1 ~]# ln -s /usr/local/lib/libluajit-5.1.so.2 /lib64/libluajit-5.1.so.2 
#一定创建此软连接，否则会报错
如果不创建符号链接，可能出现以下异常： error while loading shared libraries: libluajit-5.1.so.2: cannot open shared object file: No such file or directory

③下载并编译安装openresty

[root@linux-node1 ~]#cd /usr/local/src
[root@linux-node1 src]# wget https://openresty.org/download/openresty-1.11.2.2.tar.gz

[root@linux-node1 src]#tar -zxf openresty-1.11.2.2.tar.gz
[root@linux-node1 src]#cd ngx_openresty-1.11.2.2
[root@linux-node1 ngx_openresty-1.11.2.2]# ./configure --prefix=/usr/local/openresty \
--user=www \
--group=www \
--with-luajit \
--with-http_v2_module \
--with-http_stub_status_module \
--with-http_ssl_module \
--with-http_gzip_static_module \
--with-ipv6 --with-http_sub_module \
--with-pcre \
--with-pcre-jit \
--with-file-aio \
--with-http_dav_module
[root@linux-node1 ngx_openresty-1.11.2.2]#gmake && gmake install

④测试openresty安装

[root@linux-node1 ~]#vim /usr/local/openresty/nginx/conf/nginx.conf
server {
    location /hello {
            default_type text/html;
            content_by_lua_block {
                ngx.say("HelloWorld")
            }
        }
}

⑤测试并启动nginx

[root@linux-node1 ~]#/usr/local/openresty/nginx/sbin/nginx -t
[root@linux-node1 ~]#/usr/local/openresty/nginx/sbin/nginx

3、WAF部署
①在github上克隆下代码

[root@linux-node1 ~]#git clone https://github.com/unixhot/waf.git
[root@linux-node1 ~]#cp -a ./waf/waf /usr/local/openresty/nginx/conf/

②修改Nginx的配置文件，加入（http字段）以下配置。注意路径，同时WAF日志默认存放在/tmp/日期_waf.log

[root@linux-node1 ~]# cd /usr/local/openresty/nginx/conf
[root@linux-node1 conf]# vim nginx.conf
#WAF
    lua_shared_dict limit 50m;    #防cc使用字典，大小50M
    lua_package_path "/usr/local/openresty/nginx/conf/waf/?.lua";
    init_by_lua_file "/usr/local/openresty/nginx/conf/waf/init.lua";
    access_by_lua_file "/usr/local/openresty/nginx/conf/waf/access.lua";
[root@linux-node1 ~]# /usr/local/openresty/nginx/sbin/nginx –t
[root@linux-node1 ~]# /usr/local/openresty/nginx/sbin/nginx -s reload

③根据日志记录位置，创建日志目录

[root@linux-node1 ~]#mkdir /tmp/waf_logs
[root@linux-node1 ~]#chown nginx.nginx /tmp/waf_logs

备注：

我已经将我们生产环境中的nginx+waf的配置文件上次上去，下载链接
http://download.csdn.net/detail/m0_37886429/9869230

4、waf的模块
①配置模块
waf安装好以后，不要直接上生产，而是先记录日志，不做任何动作。确定wafF不产生误杀
config.lua配置模块

[root@linux-node1 waf]# pwd
/usr/local/openresty/nginx/conf/waf
[root@linux-node2 waf]# cat config.lua
--WAF config file,enable = "on",disable = "off" 
--waf status 
 config_waf_enable = "on"   #是否开启配置
--log dir 
 config_log_dir = "/tmp/waf_logs"    #日志记录地址
--rule setting 
     config_rule_dir = "/usr/local/nginx/conf/waf/rule-config"        
#匹配规则缩放地址
--enable/disable white url 
     config_white_url_check = "on"  #是否开启url检测
--enable/disable white ip 
     config_white_ip_check = "on"   #是否开启IP白名单检测
--enable/disable block ip 
     config_black_ip_check = "on"   #是否开启ip黑名单检测
--enable/disable url filtering 
     config_url_check = "on"      #是否开启url过滤
--enalbe/disable url args filtering 
     config_url_args_check = "on"   #是否开启参数检测
--enable/disable user agent filtering 
     config_user_agent_check = "on"  #是否开启ua检测
--enable/disable cookie deny filtering 
     config_cookie_check = "on"    #是否开启cookie检测
--enable/disable cc filtering 
     config_cc_check = "on"   #是否开启防cc攻击
--cc rate the xxx of xxx seconds 
     config_cc_rate = "10/60"   #允许一个ip60秒内只能访问10次
--enable/disable post filtering 
     config_post_check = "on"   #是否开启post检测
--config waf output redirect/html 
     config_waf_output = "html"         #action一个html页面，也可以选择跳转
--if config_waf_output ,setting url 
     config_waf_redirect_url = "http://www.baidu.com" 
     config_output_html=[[        #下面是html的内容
     <html> 
     <head> 
     <meta http-equiv="Content-Type" content="text/html; charset=utf-8" /> 
     <meta http-equiv="Content-Language" content="zh-cn" /> 
     <title>网站防火墙</title> 
     </head> 
     <body> 
     <h1 align="center"> 请安全上网，注意操作规范。 
     </body> 
     </html> 
     ]]

备注：”请安全上网，注意操作规范” 这个字段可以随意更改，安装自己的需求来。

②access.lua 规则模块

[root@linux-node1 waf]# pwd
/usr/local/openresty/nginx/conf/waf
[root@linux-node2 waf]# cat access.lua 
require 'init'
function waf_main()
if white_ip_check() then
elseif black_ip_check() then
elseif user_agent_attack_check() then
elseif cc_attack_check() then
elseif cookie_attack_check() then
elseif white_url_check() then
elseif url_attack_check() then
elseif url_args_attack_check() then
--elseif post_attack_check() then
else
return  
end
end
    waf_main()

检测顺序：先检查白名单，通过即不检测；再检查黑名单，不通过即拒绝，检查UA，UA不通过即拒绝；检查cookie；URL检查;URL参数检查，post检查；
启用waf并测试，模拟sql注入即url攻击，显示效果如下 ()

日志显示如下,记录了UA，匹配规则，URL，客户端类型，攻击的类型，请求的数据

④使用ab压测工具模拟防cc攻击
[root@linux-node3 ~]# ab -c 100 -n 100 http://192.168.88.133/index.php
“`
⑤ 模拟ip黑名单

将请求ip放入ip黑名单中
[root@linux-node1 rule-config]# echo “192.168.88.1” >>/usr/local/openresty/nginx/conf/waf/rule-config/blackip.rule

显示结果如下

⑥模拟ip白名单
将请求ip放入ip白名单中，此时将不对此ip进行任何防护措施，所以sql注入时应该返回404

 [root@linux-node2 rule-config]# echo “192.168.88.1” >>/usr/local/openresty/nginx/conf/waf/rule-config/whiteip.rule

显示结果如下

⑦模拟URL参数检测
浏览器输入192.168.88.133/?a=select * from table
显示结果如下

详细规定在arg.rule中有规定,对请求进行了规范

```bash
[root@linux-node1 rule-config]# /usr/local/openresty/nginx/conf/waf/rule-config/cat args.rule 
\.\./
\:\$
\$\{
select.+(from|limit)
(?:(union(.*?)select))
having|rongjitest
sleep\((\s*)(\d*)(\s*)\)
benchmark\((.*)\,(.*)\)
base64_decode\(
(?:from\W+information_schema\W)
(?:(?:current_)user|database|schema|connection_id)\s*\(
(?:etc\/\W*passwd)
into(\s+)+(?:dump|out)file\s*
group\s+by.+\(
xwork.MethodAccessor
(?:define|eval|file_get_contents|include|require|require_once|shell_exec|phpinfo|system|passthru|preg_\w+|execute|echo|print|print_r|var_dump|(fp)open|alert|showmodaldialog)\(
xwork\.MethodAccessor
(gopher|doc|php|glob|file|phar|zlib|ftp|ldap|dict|ogg|data)\:\/
java\.lang
\$_(GET|post|cookie|files|session|env|phplib|GLOBALS|SERVER)\[
\<(iframe|script|body|img|layer|div|meta|style|base|object|input)
(onmouseover|onerror|onload)\=
[root@linux-node2 rule-config]# pwd
/usr/local/openresty/nginx/conf/waf/rule-config