Nginx+Lua实现WAF应用防火墙配置

最新推荐文章于 2024-08-28 10:51:45 发布

IT_10-

最新推荐文章于 2024-08-28 10:51:45 发布

阅读量2.3k

点赞数

分类专栏： Nginx

本文链接：https://blog.csdn.net/IT_10/article/details/100056556

版权

Nginx 专栏收录该内容

15 篇文章 1 订阅

订阅专栏

本文以防止sql注入来讲解WAF的配置
环境：centos7，PHP7，mysql5.6，Nginx1.13

建立一个用户表：

create	table	
user(id	int(11),username varchar(64), 
password varchar(64),email	varchar(64));

插入一条数据

insert into user (id,username,password,email) 
values(1,'test','123','123@qq.com');

<html>
<head>
<title> Sql注入演示场景 </title>
<meta http-equiv="content-type"content="text/html;charset=utf-8">
</head>
<body>
<form action="sql1.php" method="post">
    <table>
        <tr>
            <td> 用 户: </td>
            <td><input type="text" name="username"></td>
        </tr>
        <tr>
            <td> 密 码: </td>
            <td><input type="text" name="password"></td>
        </tr>
        <tr>
            <td><input type="submit" value="提交"></td>
            <td><input type="reset" value="重置"></td>
        </tr>
    </table>
</form>
</body>
</html>

sql.php

<?php
	$conn = mysql_connect("localhost",'root','798465')  or die("数据库连接失败");
	mysql_select_db("info",$conn)   or die  ("您选择的数据库不存在");
	$name=$_POST['username'];
	$pwd=$_POST['password'];
	$sql="select * from user where username='$name' and password='$pwd'";
	echo $sql."<br/>";
	$query=mysql_query($sql);
	$arr=mysql_fetch_array($query);
	if($arr){
	    echo "login success!<br/>";
	    echo $arr[1];
	    echo $arr[3]."<br/><br/>";
	}else{
	        echo "login failed!";       
	}                                                                }
?>

先输入正确的用户名和密码，返回login success!
输入’ or 1=1 # 进行sql注入，返回login success!，此时的sql语句如下：

select * from user where username='' or 1= 1 #'' and password='1'

WAF配置

将下面得到的文件放到Nginx的conf配置文件下，重命名为waf

git clone https://github.com/loveshell/ngx_lua_waf.git

打开Nginx的配置文件nginx.conf，在http下增加如下配置：

lua_package_path "/usr/local/nginx/conf/waf/?.lua";
lua_shared_dict limit 10m;
init_by_lua_file "/usr/local/nginx/conf/waf/init.lua";
access_by_lua_file "/usr/local/nginx/conf/waf/waf.lua";

打开waf/wafconf/config.lua，将RulePath值设置为自己的wafconf所在路径
打开waf/wafconf/post，添加一个规则

\sor\s+

重启Nginx

现在，再进行SQL注入，得到如下页面：
在这里插入图片描述

CC攻击测试

在config.lua配置文件中，开启防CC攻击，即把CCDeny值设为on，默认值为off，CCrate=“100/60”表示一分钟最多只能有100次访问，超过该值的请求被拦截，但是过一会访问又会通过。
在这里插入图片描述
用ab压测：

//请求2000个，每次请求20个
ab -n 2000 -c 20 你的url

发现只有1994个请求成功响应
在这里插入图片描述

IT_10-

关注

0
点赞
踩
5

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录