教你用免费的hihttps开源WEB应用防火墙阻止暴力破解密码

很多企业都有自己的网站，需要用户登录后才能访问，但有大量的黑客攻击软件可以暴力破解网站密码，即使破解不了也非常恶心。有没有免费的解决办法呢？天本文就是以centos 7服务器为例，教大家怎样用免费的hihttps开源WEB应用防火墙，来阻止黑客暴力破解网站密码。

一、下载源码编译
hihttps是一款完整源码的高性能SSL WEB应用防火墙（ SSL WAF），采用epoll模式支持高并发，并且兼容ModSecurity正则规则。访问官网http://www.hihttps.com或者github上搜索hihttps，下载最新源码。
centos首先需要安装OpenSSL和libpcre两个开发库
yum install openssl openssl-devel
yum install -y pcre pcre-devel
然后解压源码到任意目录，直接make即可在当前目录生成可执行文件hihttps

二、配置
打开config.cfg文件，通常是hihttps前端运行443（https）端口，后端反向代理80端口。所以，如果你的WEB服务器已经占用了443端口，请停用或者修改为其他端口。如下设置即可：

前端SSL绑定的端口，默认443，注意不要冲突了

frontend = {
host = ""
port = “443”
}
backend = “[127.0.0.1]:80” # 后端默认反向连接80端口
#证书文件,建议设置绝对路径
pem-file = “server.pem”*

三、规则加载
规则放在和hihttps同一级的rules目录即可，注意后缀是.conf或者.rule， 默认已经开启了DDOS & CC以及暴力破解密码防御规则，打开REQUEST-20-APPLICATION-CC-DDOS.conf这个文件，找到这条规则：

SecRule DDOS “@rx login”
"id:20,
phase:2,
block,
capture,
t:none,t:urlDecodeUni,t:lowercase,
msg:‘LOGIN Brute Force Password test’,
logdata:‘Matched Data: %{TX.0} found within %{MATCHED_VAR_NAME}: %{MATCHED_VAR}’,
tag:‘application-multi’,
tag:‘language-php’,
tag:‘platform-multi’,
tag:‘attack-injection-php’,
tag:‘OWASP_CRS/WEB_ATTACK/PHP_INJECTION’,
tag:‘OWASP_TOP_10/A1’,
ctl:auditLogParts=+E,
ver:‘OWASP_CRS/3.1.0’,
severity:‘CRITICAL’,
setvar:‘ddos_burst_time_slice=10,ddos_counter_threshold=3,ddos_block_timeout=60’,
setvar:‘tx.php_injection_score=+%{tx.critical_anomaly_score}’,
setvar:‘tx.anomaly_score_pl1=+%{tx.critical_anomaly_score}’,
setvar:‘tx.%{rule.id}-OWASP_CRS/WEB_ATTACK/PHP_INJECTION-%{MATCHED_VAR_NAME}=%{tx.0}’"*

上面规则基本含义是：任何url中正则匹配到了login这个关键字，同一IP在10秒内超过3次访问，认为是在暴力破解密码，直接封锁其IP地址60秒。因为正常用户在登录的时候，即使错误输入了密码，也不会在10秒内超过3次请求，如果要修改频率，直接改规则里面的时间即可：

setvar:‘ddos_burst_time_slice=10,ddos_counter_threshold=3,ddos_block_timeout=60’,

hihttps最厉害的是兼容owasp-modsecurity-core-rule攻击规则，更多的规则说明，请自行百度搜索相关教程。

四、运行
./hihttps直接运行即可，默认读取当前目录下的confg.cfg文件， 或者./hihttps --config /dir/config.cfg
如果成功打印加载了rules目录下的规则，代表运行成功。

五、 测试
浏览器连续刷下访问https://server_ip/login.html?testsql=delete * from test
如果hihttps产生了报警记录，则防御成功，再也没有人能暴力破解你网站密码了。

hihttps还有其他更强大的功能，在后续的文章里面再介绍。总之，服务器web安全相当重要，如果不是开源的产品，千万不能随便安装。