雷池WAF-动态防护新功能体验

雷池WAF

雷池WAF（Web Application Firewall，网络应用防火墙）是由长亭科技开发的一个网络安全产品，它专注于保护Web应用免受黑客攻击。

今天主要讲的是长亭雷池最近新出的功能：动态防护

安装

雷池WAF支持多种安装方式：sh脚本安装、离线安装、牧云助手安装
本篇文章以牧云助手为例：（需要您注册长亭百川云平台账号，之后使用云主机管理助手相关命令进行绑定主机）

点击确认后开始安装，因为实际使用Docker镜像安装，会首先检测服务器是否安装了Docker。

下图为拉取镜像日志

首次登录

首先会让我们阅读授权许可协议，在之后我们需要先使用安装完成后提供的账号密码进行登录。

忘记密码

账号密码在我们上面安装日志最后会出现，如果忘记也可以使用下面命令重置：

docker exec safeline-mgt resetadmin

安装成功

在登录成功后便进入了dashboard主界面，同时我们要注意版本要>=6.0.0

开启2fa双向验证

出于安全考虑我们可以在登录后依次点击：“系统设置 -> 雷池控制台登录设置”，开启后会退出登录跳转到登录页面让我们再次输入账号密码，之后会出现如下图所示绑定验证器的二维码，完成绑定后点击完成按钮输入一次动态口令即可成功。

支持TOTP 2FA的验证器有很多，我使用的微软验证器：

添加防护站点

步骤很简单，如下图所示，根据自己需求来配置：

高级防护功能之动态防护

现在提供了三种防护功能，分别以下含义：

1. 人机验证：当用户访问您的网站时，雷池会预先检查客户端环境的合法性，真人用户会被放行，爬虫和自动化程序发起的请求将被拒之门外。
2. 身份验证：当用户访问您的网站时，需要输入您在下方配置的用户名和密码信息，不持有下方信息的用户将被拒之门外。
3. 动态防护：该功能开启后，您网站中的 html 和 javascript 代码在每次访问时都会被动态加密为不同的随机形态，可以有效阻止爬虫和攻击自动化利用程序。

不得不说，这次新出的功能很强，雷池WAF的发展举目可鉴，国内外少有的开源Web应用防火墙。

下面来体验一下他的强大之处：

未开启动态防护

我们查看了项目的源代码，这和开发环境中的没有任何区别

开启动态防护后

开启动态防护后，代码被混淆加密，并且每次都不同

开启动态防护后页面被混淆，先经过解密：

相关链接

雷池WAF：https://waf-ce.chaitin.cn/
文档：https://waf-ce.chaitin.cn/docs/guide/install