大鸟前面文章里说过如何升级到宝塔面板6.6的教程,大鸟最近也一直在用宝塔面板的6.6.6的最新版本,额,确实和5.9没什么区别,但是也不要觉得6.6这个版本有多好,其实它没你想的那么好。
nginx的防火墙模块被取消了,连接管理和进程管理也被取消了,说白了,大鸟觉得,6.X是阉割版。因为宝塔现在推出了商业版,商业版和免费版要有分水岭,这势必要取消掉原来5.9版本中的很多非常实用的功能,这里面就有什么防火墙啊,进程管理、连接管理这些很实用的小功能。如果你要用,很简单,官方的收费插件里有防火墙插件,你要用就买。
额,大鸟这里就不多吐槽6.X这个版本了,今天大鸟要说的是,虽然6.6取消了原来5.9种nginx里面集成的应用防火墙模块,但是我们自己可以的动手编译安装这个ngx_lua_waf web模块。
你可以使用SSH工具以ROOT权限登陆之后下载备份nginx,也可以直接使用命令备份nginx。
第一、查看nginx位置
ps -elf | grep nginx
第二、进入宝塔面板的nginx目录
cd /www/server/nginx/sbin/
第三、备份宝塔nginx
cp nginx nginx.bak
第四、进入root目录
cd /root
第五、安装项目
项目地址:https://github.com/loveshell/ngx_lua_waf
1、下载安装LuaJIT 2.1(2.0或者2.1都是支持的,官方推荐2.1):http://luajit.org/download.html
wget http://luajit.org/download/LuaJIT-2.1.0-beta2.tar.gz tar zxf LuaJIT-2.1.0-beta2.tar.gz cd LuaJIT-2.1.0-beta2 make PREFIX=/usr/local/luajit make install PREFIX=/usr/local/luajit
2、下载ngx_devel_kit(NDK)模块 :https://github.com/simpl/ngx_devel_kit/tags,不需要安装
wget https://github.com/simpl/ngx_devel_kit/archive/v0.2.19.tar.gz tar -xzvf v0.2.19.tar.gz
3、下载最新的 lua-nginx-module 模块
wget https://github.com/openresty/lua-nginx-module/archive/v0.10.2.tar.gz tar -xzvf v0.10.2.tar.gz #设置环境变量 export LUAJIT_LIB=/usr/local/luajit/lib export LUAJIT_INC=/usr/local/luajit/include/luajit-2.1
4、重新编译 nginx 我这里使用的是 nginx 1.14.1 。
查看宝塔编译好的nginx加载模块,在重新编译加载云锁防护模块的时候仍需加载这些模块
nginx -V
注意这个命令是大写的V,如果小写v是不会显示模块的
将./configure arguents:之后的内容复制到记事本备用,比如我的是:
--user=www --group=www --prefix=/www/server/nginx --with-openssl=/www/server/nginx/src/openssl --add-module=/www/server/nginx/src/ngx_devel_kit --add-module=/www/server/nginx/src/lua_nginx_module --add-module=/www/server/nginx/src/ngx_cache_purge --add-module=/www/server/nginx/src/nginx-sticky-module --add-module=/www/server/nginx/src/nginx-http-concat --with-http_stub_status_module --with-http_ssl_module --with-http_v2_module --with-http_image_filter_module --with-http_gzip_static_module --with-http_gunzip_module --with-stream --with-stream_ssl_module --with-ipv6 --with-http_sub_module --with-http_flv_module --with-http_addition_module --with-http_realip_module --with-http_mp4_module --with-ld-opt=-Wl,-E --with-pcre=pcre-8.40 --with-ld-opt=-ljemalloc
这里只要是宝塔面板6.6的应都是一样的,不过最好都看下把这一段复制下来。(我的仅供参考,实际以自己的为准)
进入nginx源码目录,对nginx进行重新编译,操作之前请确认自己的nginx是编译模式安装的,而不是宝塔面板的极速安装
cd /www/server/nginx/src
第六、编译内容
./configure 上一步记事本中的备用内容 --with-ld-opt="-Wl,-rpath,/root/luajit/lib" --add-module=/root/ngx_devel_kit-0.2.19 --add-module=/root/lua-nginx-module-0.10.2
./configure和记事本复制的内容之间有个空格,后面的--add-module前面也有个空格,比如我的编译命令为:
./configure --user=www --group=www --prefix=/www/server/nginx --with-openssl=/www/server/nginx/src/openssl --add-module=/www/server/nginx/src/ngx_devel_kit --add-module=/www/server/nginx/src/lua_nginx_module --add-module=/www/server/nginx/src/ngx_cache_purge --add-module=/www/server/nginx/src/nginx-sticky-module --add-module=/www/server/nginx/src/nginx-http-concat --with-http_stub_status_module --with-http_ssl_module --with-http_v2_module --with-http_image_filter_module --with-http_gzip_static_module --with-http_gunzip_module --with-stream --with-stream_ssl_module --with-ipv6 --with-http_sub_module --with-http_flv_module --with-http_addition_module --with-http_realip_module --with-http_mp4_module --with-ld-opt=-Wl,-E --with-pcre=pcre-8.40 --with-ld-opt=-ljemalloc --with-ld-opt="-Wl,-rpath,/root/luajit/lib" --add-module=/root/ngx_devel_kit-0.2.19 --add-module=/root/lua-nginx-module-0.10.2
等待命令结束,输入编译命令
make
编译安装过程大概要5分钟左右,还是有点长的。完成后将系统中原有的nginx用重新编译生成的nginx文件替换。
第七、停止nginx
service nginx stop
第八、删除原来的nginx,操作之前请确认自己的nginx已经备份
rm -rf /www/server/nginx/sbin/nginx
第九、复制新编译的nginx
cp /www/server/nginx/src/objs/nginx /www/server/nginx/sbin/
第十、启动nginx
service nginx start
第十一、下载ngx_lua_waf.包
安装好后回到 nginx 目录后,我们下载ngx_lua_waf.包,直接从github拉过来。
cd /www/server/nginx/conf yum install git -y git clone https://github.com/loveshell/ngx_lua_waf.git mv ngx_lua_waf waf
第十二、安装部署ngx_lua_waf
在Nginx默认的nginx.conf配置文件http模块里添加如下语句引用ngx_lua_waf模块生效:
lua_package_path "/www/server/nginx/conf/waf/?.lua"; lua_shared_dict limit 10m; init_by_lua_file /www/server/nginx/conf/waf/init.lua; access_by_lua_file /www/server/nginx/conf/waf/waf.lua;
为了确保万一,让Nginx检查以下配置文件语法正确与否是个好习惯:
nginx -t
返回如下信息即表明配置文件正确无误。
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
然后修改waf目录config.lua里面的路径,路径一定要改好,不然打开网页会提示500错误。
RulePath = "/www/server/nginx/conf/waf/wafconf/" attacklog = "on" logdir = "/www/server/nginx/logs/hack/"
这是宝塔面板的路径!
hack这个文件夹请自己到路径里创建。
第十三、修改ngx_lua_waf配置
可以编辑/www/server/nginx/conf/waf/config.lua来调整ngx_lua_waf的相关配置。
附送ngx_lua_waf 配置文件config.lua中文注释
RulePath = "/www/server/nginx/conf/waf/wafconf/" --规则存放目录 attacklog = "off" --是否开启攻击信息记录,需要配置logdir logdir = "/www/server/nginx/logs/hack/" --log存储目录,该目录需要用户自己新建,需要nginx用户的可写权限,这里是宝塔的创建路径 UrlDeny="on" --是否拦截url访问 Redirect="on" --是否拦截后重定向 CookieMatch = "on" --是否拦截cookie攻击 postMatch = "on" --是否拦截post攻击 whiteModule = "on" --是否开启URL白名单 black_fileExt={"php","jsp"} --填写可上传文件后缀类型 ipWhitelist={"127.0.0.1"} --ip白名单,多个ip用逗号分隔 ipBlocklist={"1.0.0.1"} --ip黑名单,多个ip用逗号分隔 CCDeny="on" --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) CCrate = "100/60" --设置cc攻击频率,单位为秒. --默认1分钟同一个IP只能请求同一个地址100次 html=[[Please go away~~]] --警告内容,可在中括号内自定义
备注:不要乱动双引号,区分大小写
可以把config.lua中的Redirect设置为off,只记录不拦截,观察没有误拦后再开启。
完成自己的需求的配置后,保存退出。重启Nginx后就生效了。
第十四、测试
测试创建个test.php文件,内容为test,直接访问。
http://ceshi.vps100.net/test.php
返回的内容:test
如果在网址是这样的。
http://ceshi.vps100.net/test.php?id=../etc/passwd
我们就会看到拦截内容了,如下图:
第十五、ngx_lua_waf说明
- 防止sql注入,本地包含,部分溢出,fuzzing测试,xss,SSRF等web攻击。
- 防止svn/备份之类文件泄漏。
- 防止ApacheBench之类压力测试工具的攻击。
- 屏蔽常见的扫描黑客工具,扫描器。
- 屏蔽异常的网络请求。
- 屏蔽图片附件类目录php执行权限。
- 防止webshell上传
第十六、总结
宝塔面板nginx编译ngx_lua_waf web 应用防火墙模块的教程就说完了,门槛稍微有点高啊,大家要看仔细,就目前的互联网安全形势给站点添加一个 WAF 可以说是个标配了,可惜很多新手站长们都给忽略了,所以说给服务器部署ngx_lua_waf web绝对是个应对网站安全的好习惯!