开源代码
2023-11-15SmileSayBoot 开源,项目内扩展
实现了动态代理,可代理API接口/站点,若对你有用,请点个☆star 谢谢,能力有限,不喜勿喷。
背景:
项目初期
和硬件集成,实现了些功能服务,由于是局域网环境,安全问题当时都可以最小化无视。随着对接的服务越来越多,部分功能上云,此时就需要有一种手段可以控制到其他项目/接口的访问权限。
无疑 反向代理是最轻快的解决办法。
反向代理 集成第三方的服务接口或web监控界面,并与项目实现的鉴权方法
依赖 [smiley-http-proxy-servlet GitHub链接](https://github.com/mitre/HTTP-
Proxy-Servlet)
2.0 版开始,代理切换到jakarta servlet-api
<!--HTTP 代理 Servlet-->
<dependency>
<groupId>org.mitre.dsmiley.httpproxy</groupId>
<artifactId>smiley-http-proxy-servlet</artifactId>
<version>2.0</version>
</dependency>
javax servlet-api 请选择
<dependency>
<groupId>org.mitre.dsmiley.httpproxy</groupId>
<artifactId>smiley-http-proxy-servlet</artifactId>
<version>${smiley-http-proxy-servlet.version}</version>
<classifier>javax</classifier>
</dependency>
仅仅是代理接口 默认官网示例使用即可,参考第二个接口代理。
以Nginx 代理Grafana监控平台为例,解决静态资源加载失败、访问鉴权、及websocket连接问题
import org.mitre.dsmiley.httpproxy.ProxyServlet;
import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.boot.web.servlet.ServletRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.filter.HiddenHttpMethodFilter;
/**
* 本地代理服务
*
* @author Smile
*/
@Configuration
public class ProxyServletConfig {
/**
* 代理Grafana 监控平台
*/
@Bean
public ServletRegistrationBean<ProxyServlet> servletRegistrationBean() {
ServletRegistrationBean<ProxyServlet> servletRegistrationBean = new ServletRegistrationBean<>(new ProxyServlet(), "/grafana/*");
servletRegistrationBean.addInitParameter(ProxyServlet.P_TARGET_URI, "http://127.0.0.1:9999");
servletRegistrationBean.addInitParameter(ProxyServlet.P_LOG, "true");
// 自动处理重定向
servletRegistrationBean.addInitParameter(ProxyServlet.P_HANDLEREDIRECTS, "false");
// 保持 COOKIES 不变
servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVECOOKIES, "true");
// Set-Cookie 服务器响应标头中保持 cookie 路径不变
servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVECOOKIEPATH, "true");
// 保持 HOST 参数不变
servletRegistrationBean.addInitParameter(ProxyServlet.P_PRESERVEHOST, "true");
return servletRegistrationBean;
}
/**
*接口代理
*/
@Bean
public ServletRegistrationBean<ProxyServlet> servletRegistration() {
ServletRegistrationBean<ProxyServlet> servletRegistrationBean = new ServletRegistrationBean<>(new ProxyServlet(), "/one/*","/two/*","three/*");
servletRegistrationBean.addInitParameter(ProxyServlet.P_TARGET_URI, "http://localhost:8001/api");
servletRegistrationBean.addInitParameter(ProxyServlet.P_LOG, "true");
return servletRegistrationBean;
}
/**
* 禁用springboot 自带的 HiddenHttpMethodFilter 防止post提交的form数据流被提前消费
* <p>
* fix springboot中使用proxyservlet的 bug.
* <a href="https://github.com/mitre/HTTP-Proxy-Servlet/issues/83">bugs</a>
* <a href="https://stackoverflow.com/questions/8522568/why-is-httpservletrequest-inputstream-empty">bugs</a>
*
* @return
*/
@Bean
public FilterRegistrationBean<HiddenHttpMethodFilter> disableHiddenHttpMethodFilter() {
FilterRegistrationBean<HiddenHttpMethodFilter> registrationBean = new FilterRegistrationBean<>();
registrationBean.setFilter(new HiddenHttpMethodFilter());
registrationBean.setEnabled(false); // 禁用过滤器
return registrationBean;
}
}
直接访问grafana代理 springboot项目端口8088报错,静态资源 路径不正确 加载失败,grafana live/ws链接也会失败,参考附录。
解决办法:
1.修改对应前端项目,使其 都通过代理路径。
2.可以新建项目,ProxyServlet使用 /*路径匹配规则。
3.如果这两种都不适合,那么变动最少的方案,使用nginx反向代理到ProxyServlet的代理路径上。这样做会增加一些性能损耗,但是换来了,前端项目无需更改,后端可增加接口鉴权,某些时候是值得的。
nginx配置参考:
server {
listen 8889;
server_name localhost;
# grafana websocket地址代理
location /api/live/ws {
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "Upgrade";
proxy_set_header X-real-ip $remote_addr;
proxy_set_header X-Forwarded-For $remote_addr;
proxy_pass http://127.0.0.1:9999;
}
location / {
#add_header Access-Control-Allow-Origin *;
add_header Access-Control-Max-Age 1728000;
add_header Access-Control-Allow-Methods 'POST,GET,OPTIONS,DELETE,PUT,HEAD,PATCH';
add_header Access-Control-Allow-Headers 'satoken,DNT,X-Mx-ReqToken,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type';
add_header Access-Control-Allow-Origin $http_origin;
client_max_body_size 10m;
if ($request_method = 'OPTIONS') {
return 204;
}
# grafana支持配置apikey 免登录访问
set $auth 'Bearer eyJrIjoiN1pKYlk5akFDZWNoMlVSUEN1YllXdm0yd2VYN2RzZFIiLCJuIjoiYWRtaW5rZXkiLCJpZCI6MX0=';
# apiKey设置到header grafana免密访问
proxy_set_header Authorization $auth;
proxy_pass http://127.0.0.1:8088/grafana//;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_connect_timeout 600;
proxy_read_timeout 600;
}
}
划重点
springboot 代理的/grafana/* 到 http://127.0.0.1:9999
静态资源的访问失败 404或 错误的返回html首页,是因为路径不符合此规则导致代理是失败
proxy_pass http://127.0.0.1:8088/grafana//;
由nginx代理到 // 则问题解决 ,使 /grafana/* 代理规则生效
其他访问的服务调用 nginx的这个代理
ok.
再看后端 日志 代理已正常
更安全的访问
只需要限制 原服务端口的放行规则,如仅本机可访问,然后项目增加过滤器自行判断权限。
启动类添加@ServletComponentScan扫描WebFilter,增加 Filter
import cn.dev33.satoken.stp.StpUtil;
import jakarta.servlet.*;
import jakarta.servlet.annotation.WebFilter;
import jakarta.servlet.http.HttpServletResponse;
import org.springframework.core.annotation.Order;
import java.io.IOException;
/**
* 过滤器
*
* @author Smile
*/
@Order(1)
@WebFilter(filterName = "grafanaFilter", urlPatterns = "/grafana/*")
public class ProxyGrafanaFilter implements Filter {
@Override
public void init(FilterConfig filterConfig) throws ServletException {
Filter.super.init(filterConfig);
}
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
//自行 实现条件判断即可
if (StpUtil.isLogin()) {
// 用户已登录,继续执行过滤器链
filterChain.doFilter(servletRequest, servletResponse);
} else {
// 用户未登录,可以返回错误信息或重定向到登录页面
// 例如,返回 HTTP 401 未授权状态
HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;
httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
}
}
@Override
public void destroy() {
Filter.super.destroy();
}
}
未登录则:
``收工~~
附:
grafana websocket 可能需要修改custom.ini配置
# allowed_origins is a comma-separated list of origins that can establish connection with Grafana Live.
# If not set then origin will be matched over root_url. Supports wildcard symbol "*".
allowed_origins=*
或
allowed_origins = http://127.0.0.1:8889
接下来我将给各位同学划分一张学习计划表!
学习计划
那么问题又来了,作为萌新小白,我应该先学什么,再学什么?
既然你都问的这么直白了,我就告诉你,零基础应该从什么开始学起:
阶段一:初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划,当你学完后,你基本可以从事一份网络安全相关的工作,比如渗透测试、Web渗透、安全服务、安全分析等岗位;其中,如果你等保模块学的好,还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识(2天)
①了解行业相关背景,前景,确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。(非常重要)
2、渗透测试基础(1周)
①渗透测试的流程、分类、标准
②信息收集技术:主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理,利用方法、工具(MSF)、绕过IDS和反病毒侦察
④主机攻防演练:MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础(1周)
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全(系统入侵排查/系统加固基础)
4、计算机网络基础(1周)
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析(HTTP、TCP/IP、ARP等)
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御:主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作(2天)
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透(1周)
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具:Nmap、BurpSuite、SQLMap、其他(菜刀、漏扫等)
那么,到此为止,已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗?
阶段二:中级or高级网络安全工程师(看自己能力)
综合薪资区间15k~30k
7、脚本编程学习(4周)
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中,面对复杂多变的网络环境,当常用工具不能满足实际需求的时候,往往需要对现有工具进行扩展,或者编写符合我们要求的工具、自动化脚本,这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中,想要高效地使用自制的脚本工具来实现各种目的,更是需要拥有编程能力。
零基础入门的同学,我建议选择脚本语言Python/PHP/Go/Java中的一种,对常用库进行编程学习
搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP,IDE强烈推荐Sublime;
Python编程学习,学习内容包含:语法、正则、文件、 网络、多线程等常用库,推荐《Python核心编程》,没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构,并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三:顶级网络安全工程师
如果你对网络安全入门感兴趣,那么你需要的话可以点击这里👉网络安全重磅福利:入门&进阶全套282G学习资源包免费分享!
学习资料分享
当然,只给予计划不给予学习资料的行为无异于耍流氓,这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包,可点击下方二维码链接领取哦。
![](https://i-blog.csdnimg.cn/blog_migrate/1ea1822e9f16b0cb340bfae111c0f8b5.jpeg)