easy_ngx_waf

./easy_ngx_waf/  # 项目根目录
   |   .gitignore
   |   access.lua    # access_by_lua_file 对应的文件
   |   config.lua    # easy_ngx_waf 配置文件
   |   init.lua      # init_by_lua_file 对应的文件
   |   log.lua       # log_by_lua_file 对应的文件
   |   README.md
   |   report.lua    # 当前waf概要报告;详见文件内容有说明;
   |
   +---data/      # 数据目录
   |       Country.mmdb  # geoip数据文件
   |
   +---lib/       # 工具库目录
   |   |   ccutil.lua          # CC检测 工具调用类
   |   |   cc_redis.lua        # CC检测 redis存储的具体实现
   |   |   cc_shared_dict.lua  # CC检测 shared_dict存储的具体实现
   |   |   cls_redis.lua       # redis封装
   |   |   post.lua            # post请求相关解析工具
   |   |   string_util.lua     # string工具类(修改自项目https://github.com/stein197/lua-string)
   |   |   util.lua            # 工具类
   |   |
   |   +---rule_core/  # 规则解析库
   |   |       act.lua
   |   |       host.lua
   |   |       operator.lua
   |   |       rule.lua
   |   |       value.lua
   |   |       var.lua
   |   |
   |   \---packages/    # 第三方lua模块目录(文件说明详见该目录下README)
   |
   \---rules/     # 主规则目录(文件说明详见该目录下README;此目录下所有文件可通过easy_ngx_waf_rule项目覆盖更新)
   |   |   .gitignore
   |   |   demo.rule      # 规则演示文件
   |   |   README.md
   |   |
   |   +---simple/   # 简单规则文件目录
   |   |       args             # query参数过滤规则
   |   |       cookie           # cookie过滤规则
   |   |       ip_black         # IP黑名单
   |   |       ip_white         # IP白名单
   |   |       post             # post参数过滤规则
   |   |       url              # url过滤规则
   |   |       url_white        # url白名单
   |   |       user_agent       # user-agent过滤规则
   |   |       user_agent_white # user-agent白名单
   |   |
   |   \---spider/   # 蜘蛛数据目录(文件格式说明详见该目录下README)
   |   |   README.md
   |   |       ......
   |
   +---rules_custom/   # 用户自定义规则目录(文件说明详见该目录下README)
   |   |   .gitignore
   |   |   README.md
   |   |   custom_demo.rule  # 用户自定义规则演示文件
   |   |
   |   +---simple/   # 用户自定义:简单规则文件目录
   |   |       ......    # 文件列表同主规则目录下的简单规则文件列表相同
   |   |
   |   \---spider/   # 用户自定义:蜘蛛数据目录
   |           myself.data   # 用户自定义蜘蛛数据演示文件
   |
   \---tpl/    # 模板目录
           report.html   # WAF概要报告模板文件

# nginx.conf 文件 http 段

# ============= easy_ngx_waf配置 START =============

# easy_waf_cc_dict 此共享内存主要保存cc相关特征变量,内存大小根据访问量调整设置(此处为20MB大小)
# 如果 ./easy_ngx_waf/config.lua 配置文件中使用redis作为cc_dict_type(配置为 config.cc_dict_type = 'redis' ),则 easy_waf_cc_dict 这一行可注释
lua_shared_dict easy_waf_cc_dict 20m;

# 用于通用缓存,内存大小根据实际情况调整
lua_shared_dict easy_waf_cache 10m;

# 设置lua库加载路径(注意最后的 ;; 不可写错了)
lua_package_path "{easy_ngx_waf目录绝对路径}/?.lua;;";

# 如果是windows环境,请加下一行配置
# lua_package_cpath "{easy_ngx_waf目录绝对路径}\\lib\\packages\\clib_win\\?.dll;;";

# 如果是linux环境, lfs.so 保存在了非 openresty/lualib/ 目录,设置一下 cpath
# lua_package_cpath "{动态库文件目录绝对路径}/?.so;;";

init_by_lua_file {easy_ngx_waf目录绝对路径}/init.lua;

# 推荐写在 http 段作为全局使用, 写在 server 段就只针对当前 server 生效
access_by_lua_file {easy_ngx_waf目录绝对路径}/access.lua;

log_by_lua_file {easy_ngx_waf目录绝对路径}/log.lua;
# ============= easy_ngx_waf配置 END =============

-- ./easy_ngx_waf/config.lua 文件

local config = {}

-- 总开关
config.waf_enable = "on"

-- 是否记录waf拦截日志(拦截日志总开关)
config.waf_log = "on"
-- waf拦截日志路径(绝对路径，确保nginx用户有写权限；文件未生成前，所属目录需要有写权限)
--     文件名可自定义，只要nginx用户有写权限即可。
--     配置示例: "{nginx_log目录}/easy_ngx_waf.log"
--     如果使用日志处理服务，一定要注意生成日志文件时的权限,所有者一定要是nginx用户，否则新日志无法写入。
--        笔者在日志这块踩的坑请参见  注意事项 -- WAF日志不记录章节
config.waf_log_file = "/web_server/web/logs/easy_ngx_waf.log"

-- waf基础目录(绝对路径,库中规则目录及某些文件路径依赖此路径)
--     示例: "/web_server/tools/easy_ngx_waf"
--          "D:\\server\\easy_ngx_waf"
config.waf_base_path = "/web_server/tools/easy_ngx_waf"

-- WAF排除域名列表(host_exclude)
-- 可在此设置不参与WAF检测的域名(可设置全局排除,也可针对各检测阶段排除)
--      排除域名设置注意事项
--          "abc.com" => 具体域名，只针对 "abc.com" 域名排除，"www.abc.com" 还是参与waf检测的
--          "*.abc.com" => 通配符域名，针对所有 "abc.com" 域名("abc.com"  "www.abc.com"  "x.y.abc.com")都排除
config.host_x = {

    -- "all" 全局排除域名列表
    --      包含在此列表的域名直接跳过所有WAF检测
    all = {
        "*.easy_ngx_waf.xxx",
        "localhost",
    },

    -- "ip_white" IP白名单检测阶段排除域名列表
    ip_white = {
        "www.example.xxx",
        "*.example2.xxx",
    },

    -- "ip_black" IP黑名单检测阶段排除域名列表
    ip_black = {
    },

    -- "ip_foreign" 境外IP检测阶段排除域名列表
    ip_foreign = {
    },

    -- "ua" user-agent检测阶段排除域名列表(同时也不参与ua白名单检测)
    ua = {
    },

    -- "cookie" cookie检测阶段排除域名列表
    cookie = {
    },

    -- "cc" cc检测阶段排除域名列表
    cc = {
    },

    -- "args" args检测阶段(也就是get参数检测)排除域名列表
    args = {
    },

    -- "post" post检测阶段排除域名列表
    post = {
    },

    -- "header" header检测阶段排除域名列表
    header = {
    },

} -- END config.host_x


-- libmaxminddb编译安装后的库文件路径(绝对路径)
-- IP归属地区检测
--   linux下需要先安装libmaxminddb(项目地址 https://github.com/maxmind/libmaxminddb)
--       默认安装路径 "/usr/local/lib/libmaxminddb.so"
--   windows下已预置了动态库 config.waf_base_path.."\\lib\\packages\\libmaxminddb_win\\libmaxminddb.dll"
config.libmaxminddb_path = "/usr/local/lib/libmaxminddb.so"


-- IP白名单: 所有规则中, "var":"ip"  "act":"allow" 的都算作IP白名单(不管是 ip_match, ip_region 运算)
--      "op":"ip_match"  时, 规则 value 可以是符合CIDR规则的IP
--      "op":"ip_region" 时, 规则 value 可以是所在地区的代码(如: "CN","MO"...)
-- 是否开启IP白名单校验(白名单命中,后续校验都不做)
config.ip_white_check = "on"
-- IP白名单命中时是否记录日志(推荐关闭,可减少日志);此设置只针对简单规则有效,常规规则中有单独的日志开关;
config.ip_white_log = "off"


-- IP黑名单: 所有规则中, "var":"ip"  "act":"deny" 的都算作IP黑名单(不管是 ip_match, ip_region 运算)
--      "op":"ip_match"  时, 规则 value 可以是符合CIDR规则的IP
--      "op":"ip_region" 时, 规则 value 可以是所在地区的代码(如: "US","TW"...)
-- 是否开启IP黑名单校验
config.ip_black_check = "on"
-- IP黑名单命中时是否记录日志(推荐关闭,可减少日志);此设置只针对简单规则有效,常规规则中有单独的日志开关;
config.ip_black_log = "on"
-- IP黑名单校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.ip_black_deny_return = ngx.HTTP_NOT_FOUND


-- 是否开启user-agent白名单校验(开启可放行UA白名单)
config.user_agent_white_check = "off"
-- user-agent白名单命中时是否记录日志(关闭可减少日志);此设置只针对简单规则有效,常规规则中有单独的日志开关;
config.user_agent_white_log = "off"


-- 是否开启user-agent校验
config.user_agent_check = "on"
-- user-agent校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.user_agent_deny_return = "user_agent_deny"


-- 是否开启url白名单校验
config.url_white_check = "on"
-- url白名单命中时是否记录日志(关闭可减少日志);此设置只针对简单规则有效,常规规则中有单独的日志开关;
config.url_white_log = "off"


-- 是否开启url校验
config.url_check = "on"
-- url校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.url_deny_return = "url_deny"


-- 是否开启SEO蜘蛛校验
config.seo_spider_check = "on"
-- SEO蜘蛛校验命中时是否记录日志(关闭可减少日志)
config.seo_spider_log = "off"


-- 是否开启 禁止境外IP访问
config.ip_foreign_check = "on"
-- 禁止境外IP命中时是否记录日志(推荐关闭,可减少日志)
config.ip_foreign_log = "on"
-- 非境外IP地区列表(在这个列表中的地区为非境外IP),注意大小写
config.domestic_iso_code = {
    "CN",      -- 中国CODE
    "HK",      -- 香港CODE
    "MO",      -- 澳门CODE
    "TW",      -- 台湾省CODE
    "PRIVATE", -- 内网CODE
    -- 内网IP段
    --      10.0.0.0 - 10.255.255.255
    --      172.16.0.0 - 172.31.255.255
    --      192.168.0.0 - 192.168.255.255
}
-- 禁止境外IP访问时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.ip_foreign_deny_return = "ip_foreign_deny"


-- 是否开启cookie校验
config.cookie_check = "on"
-- cookie校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.cookie_deny_return = "cookie_deny"


-- 是否开启args参数校验
config.args_check = "on"
-- args参数校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.args_deny_return = "args_deny"


-- 是否开启post参数校验
config.post_check = "on"
-- post参数校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.post_deny_return = "post_deny"


-- 是否开启header校验(此检测阶段已将user-agent cookie剥离)
config.header_check = "on"
-- header校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.header_deny_return = "header_deny"


-- 是否开启CC校验
config.cc_check = "on"
-- CC频率 单位:请求次数N/M秒 默认100/60:60秒请求100次即触发CC攻击
config.cc_rate = "100/60"
-- CC校验不通过时,返回内容 (可填写 HTTP错误码 / "default" / 自定义内容)
config.cc_deny_return = ngx.HTTP_NOT_FOUND
-- CC检测命中,封锁IP时长(单位:秒,如果为0则永久封锁)
config.cc_ip_lock_time = 300
-- CC防护使用的数据存储类型( "redis" / "shared_dict" )
--   如果使用redis,需要正确配置下方redis相关配置项
--   如果使用shared_dict,需要在 nginx.conf 的 http 段配置 lua_shared_dict easy_waf_cc_dict ?m;
config.cc_dict_type = "shared_dict"

-- redis主机
config.redis_host = "127.0.0.1"
-- redis端口
config.redis_port = 6379
-- redis数据库编号(默认0号库,通常可选0-15)
config.redis_db_index = 0
-- redis密码(没有留空字符串)
config.redis_password = ""

-- 防火墙拦截后,默认返回响应状态码 及 html内容(如果各个拦截响应配置项设置为"default"时)
config.default_return_code = ngx.HTTP_NOT_FOUND
config.default_return_html = [[MMP...]]

return config

{
    ## 某规则内容
    ......
    ## act 由 "deny" 改为 "next"
    "act": "next",
    ## log  "on" 表示记录日志   "off" 表示不记录日志,结合 "act":"next" 完成忽略此规则
    "log": "off",
    ......
}

# 此处只针对 logrotate
# 其他情形思路都是一样的,waf 日志文件所有者应为 nginx 用户(我目前nginx用户是 www )

# 1. 进入 logrotate 规则目录,新建 waf 规则 (文件名自定义,此处文件为 easy_ngx_waf )
$ cd /etc/logrotate.d/
$ vim easy_ngx_waf
# 进入 vim 后加入以下内容(关于logrotate规则请自行搜索)

# /web_server/web/logs/   为WAF日志所在目录绝对路径
#     easy_ngx_waf*.log   为WAF日志文件前缀,跟WAF配置文件中的一致
/web_server/web/logs/easy_ngx_waf*.log {
  # 每日执行
  daily
  # 保留25份备份
  rotate 25
  missingok
  dateext
  compress
  notifempty
  sharedscripts
  copytruncate
  # 重点是这一行,创建新文件时指定权限: 权限0664 所有者www 所属组root
  create 0644 www root
  postrotate
    [ -e /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`
  endscript
}
# 完成 vim 编辑后保存退出

# 重启logrotate服务
# 我的系统是systemd管理服务,命令如下
$ systemctl restart rsyslog