OpenResty学习笔记：再探WAF

た入场券 2024-03-22 15:19 19阅读 0赞

## 了解撸啊（Lua） ##

在真正走近WAF之前，还是有必要对 **Lua** 这个脚本语言进行一番了解，因为所有的业务逻辑都是基于 **Lua** 实现的。  
推荐两个关于Lua的学习资源：

1.  [Lua基础教程与实践][Lua]。
2.  [菜鸟Lua教程][Lua 1]。

顺便分享本人正在使用的Lua调试工具：[网盘链接][Link 1]  
解压后其中有两个文件：

1.  LuaForWindows\_v5.1.4-46.exe：适用于windows环境的Lua编译器。
2.  lua51.stx：适用于EditPlus环境的Lua语法高亮模板文件。  
      
    配置完成后，在EditPlus中进行Lua的编写和测试还是很方便的：
    
    ![33b33aa9d43e435ee4c690b4014aa0e8.png][]

## 配置入口 ##

我们回过头，再来看看上一篇Nginx的配置文件中关于WAF引用的几行关键代码：

<table> 
 <tbody> 
  <tr> 
   <td></td> 
   <td><code>lua_shared_dict limit 50m;</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>lua_package_path "/home/my/tools/waflib/?.lua";</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>init_by_lua_file "/home/my/tools/waflib/init.lua";</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>access_by_lua_file "/home/my/tools/waflib/access.lua";</code></td> 
  </tr> 
 </tbody> 
</table>

这四个指令都来自 **lua-nginx-module**，用来实现对 **Nginx** 的每个 **Worker** 线程中 **Lua** 环境的配置和定义。

### 1. lua\_shared\_dict ###

> 作用：声明一个共享内存区域  
> 层级：`http`  
> 格式：`lua_shared_dict <name> <size>`

由于各 **Worker** 线程中的 **Lua** 环境相对是独立的，无法共享数据，但在很多情况下，需要在不同的 **Worker** 之间共享数据，此时就可以通过该指令进行声明。  
此例中的 `limit` 就是声明出来的一个共享变量，在 **WAF** 中的作用就是在 **CC** 攻击检测时判断当前用户的请求频次是否超限进行拦截。

### 2. lua\_package\_path ###

> 作用：设置 **Lua** 脚本文件的搜索路径。`;;` 表示原始搜索路径。  
> 层级：`http`  
> 格式：`lua_package_path <lua-style-path-str>`

官网描述：*设置由 set\_by\_Lua、content\_by\_Lua 等指定的脚本使用的 Lua 模块搜索路径，它的默认值是LUA\_PATH环境变量的内容或LUA的编译默认值。*  
个人理解：在 **Lua** 中引用其他文件时，比如 `require 'config'`，就会将 **config** 替换掉路径中的问号并尝试查找这个文件并引入进来。  
配置搜索路径参数时，还可以使用 `$prefix` 变量来表示当前 **Nginx** 的工作目录，该目录一般在启动时通过 `-p PATH` 参数进行定义。  
如果有多个搜索路径，可用 `;` 分割。

### 3. init\_by\_lua\_file ###

> 作用：指定初始化配置文件。  
> 层级：`http`  
> 格式：`init_by_lua_file <path-to-lua-script-file>`

个人理解：该初始化配置文件仅在 **Nginx** 启动时运行一次，主要用于对全局变量进行预加载或预处理。  
但经过实践，在对本篇的 **WAF** 进行配置时，删除该指令并未产生任何影响。

### 4. access\_by\_lua\_file ###

> 作用：请求访问阶段处理。  
> 层级：`http, server, location, location if`  
> 格式：`access_by_lua_file <path-to-lua-script-file>`

个人理解：每个请求接入时，都会经过该文件的处理，其作用类似于前置拦截器。  
本篇的 **WAF** 在对请求进行检查时，主要就是从这个文件切入的。

## 官方文档支持 ##

**lua-nginx-module** 模块的官方文档：[https://github.com/openresty/lua-nginx-module][https_github.com_openresty_lua-nginx-module]  
  
其中最重要的两个部分：

1.  **指令**（Directives）：[https://github.com/openresty/lua-nginx-module\#directives][https_github.com_openresty_lua-nginx-module_directives]
2.  **API**（Nginx API for Lua）：[https://github.com/openresty/lua-nginx-module\#nginx-api-for-lua][https_github.com_openresty_lua-nginx-module_nginx-api-for-lua]  
      
    在学习 **OpenResty** 之前，还是需要对指令和API进行详细了解的。

## 文件说明 ##

再来看一下 `waflib` 的目录清单：

![220347e14ccfaac5fc78eb21535ac2d7.png][]

1.  access.lua：请求入口文件；
2.  config.lua：WAF详细配置文件；
3.  init.lua：WAF初始化文件，包含IP白名单、黑名单、URL注入、CC攻击等各种检测函数；
4.  lib.lua：WAF函数库文件，包含获取IP、获取规则、写入日志等各种通用函数；
5.  resty：一个来自 `/usr/local/openresty/lualib/resty/` 的软连接；
6.  rule-config：存放规则文件目录。

再进入到 **rule-config** 目录，查看其中的文件清单：

![e002a780f86195017bf7035ecde6d65a.png][]

以第一个 **args.rule** 规则文件为例，我们查看一下具体内容：

<table> 
 <tbody> 
  <tr> 
   <td></td> 
   <td><code>\.\./</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>\:\$</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>\$\{ </code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>select.+(from|limit)</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(?:(union(.*?)select))</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>having|rongjitest</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>sleep$(\s*)(\d*)(\s*)$</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>benchmark$(.*)\,(.*)$</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>base64_decode\(</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(?:from\W+information_schema\W)</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(?:(?:current_)user|database|schema|connection_id)\s*\(</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(?:etc\/\W*passwd)</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>into(\s+)+(?:dump|out)file\s*</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>group\s+by.+\(</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>xwork.MethodAccessor</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(?:define|eval|file_get_contents|include|require|require_once|shell_exec|phpinfo|system|passthru|preg_\w+|execute|echo|print|print_r|var_dump|(fp)open|alert|showmodaldialog)\(</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>xwork\.MethodAccessor</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(gopher|doc|php|glob|file|phar|zlib|ftp|ldap|dict|ogg|data)\:\/</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>java\.lang</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>\$_(GET|post|cookie|files|session|env|phplib|GLOBALS|SERVER)\[</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>\&lt;(iframe|script|body|img|layer|div|meta|style|base|object|input)</code></td> 
  </tr> 
  <tr> 
   <td></td> 
   <td><code>(onmouseover|onerror|onload)\=</code></td> 
  </tr> 
 </tbody> 
</table>

该文件定义了 **22** 条检测规则，一行一个，熟悉正则的话会很容易看懂。  
我们也可以根据实际情况添加新的规则。

## 引用关系 ##

![ba30717acf8d530e67024069881e6978.png][]

**4** 个Lua文件和 **8** 个规则文件，这12个文件就是这个WAF的全部，你就说巧妙不巧妙！

## 简单优化 ##

赵班长向我们展示了一个迷你WAF应该具备的基本能力，从代码上也能看出来，都是点到为止。  
所以有必要进行一些简单的优化。  
本人优化之后的代码：[点此下载][Link 2]  
  
优化说明：

1.  一些空值的判断逻辑；
2.  各检测函数的跳出逻辑；
3.  补全POST参数注入的检测逻辑；
4.  在lib.lua中增加了get\_content\_type函数，用来判断请求类型；

## 本篇总结 ##

到这里，就已经对 **OpenResty** 下的 **WAF** 从部署到使用有了全面了解了。  
如果时间允许的话，真想继续对 **WAF** 进行深层次的学习和定制。

[Lua]: https://blog.csdn.net/osuckseed/article/details/121518282
[Lua 1]: https://www.runoob.com/lua/lua-tutorial.html
[Link 1]: https://pan.baidu.com/s/1yJ8cSBdppNO1dxx1bCllfQ?pwd=vjss
[33b33aa9d43e435ee4c690b4014aa0e8.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/18/0a7832330dff4a61826143260ae6bdb2.png
[https_github.com_openresty_lua-nginx-module]: https://github.com/openresty/lua-nginx-module
[https_github.com_openresty_lua-nginx-module_directives]: https://github.com/openresty/lua-nginx-module#directives
[https_github.com_openresty_lua-nginx-module_nginx-api-for-lua]: https://github.com/openresty/lua-nginx-module#nginx-api-for-lua
[220347e14ccfaac5fc78eb21535ac2d7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/18/5d24e0b32e4f4a72b8eb71ec043ac25e.png
[e002a780f86195017bf7035ecde6d65a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/18/dbcad0a91c774ec1ba5824b02df889b2.png
[ba30717acf8d530e67024069881e6978.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/18/4bef1aa0973843efaffd7abe439cb311.png
[Link 2]: https://files.cnblogs.com/files/netWild/waflib.zip?t=1683710247&download=true