OpenResty学习笔记：再探WAF

最新推荐文章于 2023-09-18 20:58:24 发布

野生的狒狒

最新推荐文章于 2023-09-18 20:58:24 发布

阅读量186

点赞数

文章标签： lua 开发语言

本文链接：https://blog.csdn.net/Gefangenes/article/details/130629838

版权

了解撸啊（Lua）

在真正走近WAF之前，还是有必要对 Lua 这个脚本语言进行一番了解，因为所有的业务逻辑都是基于 Lua 实现的。
推荐两个关于Lua的学习资源：

Lua基础教程与实践。
菜鸟Lua教程。

顺便分享本人正在使用的Lua调试工具：网盘链接
解压后其中有两个文件：

LuaForWindows_v5.1.4-46.exe：适用于windows环境的Lua编译器。
lua51.stx：适用于EditPlus环境的Lua语法高亮模板文件。

配置完成后，在EditPlus中进行Lua的编写和测试还是很方便的：

配置入口

我们回过头，再来看看上一篇Nginx的配置文件中关于WAF引用的几行关键代码：

	`lua_shared_dict limit 50m;`
	`lua_package_path "/home/my/tools/waflib/?.lua";`
	`init_by_lua_file "/home/my/tools/waflib/init.lua";`
	`access_by_lua_file "/home/my/tools/waflib/access.lua";`

这四个指令都来自 lua-nginx-module，用来实现对 Nginx 的每个 Worker 线程中 Lua 环境的配置和定义。

1. lua_shared_dict

作用：声明一个共享内存区域
层级：http
格式：lua_shared_dict <name> <size>

由于各 Worker 线程中的 Lua 环境相对是独立的，无法共享数据，但在很多情况下，需要在不同的 Worker 之间共享数据，此时就可以通过该指令进行声明。
此例中的 limit 就是声明出来的一个共享变量，在 WAF 中的作用就是在 CC 攻击检测时判断当前用户的请求频次是否超限进行拦截。

2. lua_package_path

作用：设置 Lua 脚本文件的搜索路径。;; 表示原始搜索路径。
层级：http
格式：lua_package_path <lua-style-path-str>

官网描述：设置由 set_by_Lua、content_by_Lua 等指定的脚本使用的 Lua 模块搜索路径，它的默认值是LUA_PATH环境变量的内容或LUA的编译默认值。
个人理解：在 Lua 中引用其他文件时，比如 require 'config'，就会将 config 替换掉路径中的问号并尝试查找这个文件并引入进来。
配置搜索路径参数时，还可以使用 $prefix 变量来表示当前 Nginx 的工作目录，该目录一般在启动时通过 -p PATH 参数进行定义。
如果有多个搜索路径，可用 ; 分割。

3. init_by_lua_file

作用：指定初始化配置文件。
层级：http
格式：init_by_lua_file <path-to-lua-script-file>

个人理解：该初始化配置文件仅在 Nginx 启动时运行一次，主要用于对全局变量进行预加载或预处理。
但经过实践，在对本篇的 WAF 进行配置时，删除该指令并未产生任何影响。

4. access_by_lua_file

作用：请求访问阶段处理。
层级：http, server, location, location if
格式：access_by_lua_file <path-to-lua-script-file>

个人理解：每个请求接入时，都会经过该文件的处理，其作用类似于前置拦截器。
本篇的 WAF 在对请求进行检查时，主要就是从这个文件切入的。

官方文档支持

lua-nginx-module 模块的官方文档：https://github.com/openresty/lua-nginx-module

其中最重要的两个部分：

指令（Directives）：https://github.com/openresty/lua-nginx-module#directives
API（Nginx API for Lua）：https://github.com/openresty/lua-nginx-module#nginx-api-for-lua

在学习 OpenResty 之前，还是需要对指令和API进行详细了解的。

文件说明

再来看一下 waflib 的目录清单：

access.lua：请求入口文件；
config.lua：WAF详细配置文件；
init.lua：WAF初始化文件，包含IP白名单、黑名单、URL注入、CC攻击等各种检测函数；
lib.lua：WAF函数库文件，包含获取IP、获取规则、写入日志等各种通用函数；
resty：一个来自 /usr/local/openresty/lualib/resty/ 的软连接；
rule-config：存放规则文件目录。

再进入到 rule-config 目录，查看其中的文件清单：

以第一个 args.rule 规则文件为例，我们查看一下具体内容：

	`\.\./`
	`\:\$`
	`\$\{`
	`select.+(from\|limit)`
	`(?:(union(.*?)select))`
	`having\|rongjitest`
	`sleep$(\s)(\d)(\s*)$`
	`benchmark$(.)\,(.)$`
	`base64_decode\(`
	`(?:from\W+information_schema\W)`
	`(?:(?:current_)user\|database\|schema\|connection_id)\s*\(`
	`(?:etc\/\W*passwd)`
	`into(\s+)+(?:dump\|out)file\s*`
	`group\s+by.+\(`
	`xwork.MethodAccessor`
	`(?:define\|eval\|file_get_contents\|include\|require\|require_once\|shell_exec\|phpinfo\|system\|passthru\|preg_\w+\|execute\|echo\|print\|print_r\|var_dump\|(fp)open\|alert\|showmodaldialog)\(`
	`xwork\.MethodAccessor`
	`(gopher\|doc\|php\|glob\|file\|phar\|zlib\|ftp\|ldap\|dict\|ogg\|data)\:\/`
	`java\.lang`
	`\$_(GET\|post\|cookie\|files\|session\|env\|phplib\|GLOBALS\|SERVER)\[`
	`\<(iframe\|script\|body\|img\|layer\|div\|meta\|style\|base\|object\|input)`
	`(onmouseover\|onerror\|onload)\=`