WAF代码剖析之初识openresty – 作者:陌度

为什么会有这一系列的文章?

自从这几年信息安全的大力发展,信息安全的建设是逐步发展起来,作为甲方安全工程师,一个人的安全部,使用开源的WAF部署防御攻击,仿佛是件很平常的事情,但是开源的坏处就是没有人能够及时提供技术支撑,出现问题就只能自己维护,我相信维护WAF的代码和规则是一件很耗费精力的事情,还不如用商用的香。如果没安全预算的朋友,不妨跟我一起走向WAF开发的世界。

之前对WAF维护和加载新功能,只是单纯在openresty的access阶段进行处理,没有整体去了解整个流程是怎么运作的,接下来的文章我会针对于openresty处理阶段,WAF代码编写等内容进行说明,可能有些内容会显得啰嗦,因为这是我对于技术细节思考的结果。

为什么openresty能够成为WAF开发的核心选择?对于业务系统来说,一般放在最外层就是nginx,作为负载均衡,转发流量,并且官方也提供modsecurity规则用于WAF防御攻击,但是用过的人也知道,代码是用C写的,可写性差并且防御规则不容易维护,最重要的一点是性能损耗,我之前写过一篇WAF性能测试报告,虽然可能存在场景偏差,但是nginx性能不如openresty这是可以明显看得到。而且有一点重要的是,openresty本质还是nginx,但是加上了lua脚本语言进行嵌入,性能处理提高和能够编写复杂处理场景。

开源社区流行的主要是这些WAF:jxwafopenstarngx_lua_waf排名不分先后),我这边主要会以jxwaf的代码进行剖析,当然也会找其他WAF的代码进行思路碰撞和学习。

废话不多说,let‘s go~~

openresty处理流程

openresty有11个处理流程阶段,如下图所示

图片[1]-WAF代码剖析之初识openresty – 作者:陌度-安全小百科具体阶段作用域和功能作用如下表,来源地址:https://openresty-reference.readthedocs.io/en/latest/Directives/

阶段 作用域(nginx.conf) 功能作用
init_by_lua* http 初始化 nginx 和预加载 lua(nginx 启动和 reload 时执行)
init_worker_by_lua* http 每个工作进程(worker_processes)被创建时执行,用于启动一些定时任务,
比如心跳检查,后端服务的健康检查,定时拉取服务器配置等;
ssl_certificate_by_lua* server 对HTTPS请求的处理
set_by_lua* server, server if, location, location if 流程分支处理判断变量初始化
rewrite_by_lua* http, server, location, location if 转发、重定向、缓存等功能
access_by_lua* http, server, location, location if 内容处理(WAF规则处理)
content_by_lua* location, location if 内容生成,相当于response
balancer_by_lua* upstream 负载均衡
header_filter_by_lua* http, server, location, location if 对响应头(headers)进行处理
body_filter_by_lua* http, server, location, location if 对响应体(body)进行处理
log_by_lua* http, server, location, location if 日志记录

为了让大家更加直观认识这些阶段,我拿jxwaf的nginx配置文件进行说明,当然不懂的朋友就要下去自我补习。

http {
    include       mime.types;
    default_type  application/octet-stream;

    client_body_buffer_size  100m;
    client_max_body_size 10m;
    sendfile        on;
    #tcp_nopush     on;
	resolver  114.114.114.114;
  resolver_timeout 5s;
    #keepalive_timeout  0;
    keepalive_timeout  65;
    lua_ssl_trusted_certificate  /etc/pki/tls/certs/ca-bundle.crt;
    lua_ssl_verify_depth 3;
lua_shared_dict limit_req 100m;
lua_shared_dict limit_req_count 100m;
lua_shared_dict limit_attack_ip 100m;
lua_shared_dict limit_bot 100m;
lua_shared_dict waf_common_conf 100m;
lua_shared_dict black_attack_ip 100m;
init_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/init.lua;
init_worker_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/init_worker.lua;
rewrite_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/rewrite.lua;
access_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/access.lua;
header_filter_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/header_filter.lua;
#body_filter_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/body_filter.lua;
log_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/log.lua;
rewrite_by_lua_no_postpone on;
    #gzip  on;
	upstream jxwaf {
	server www.jxwaf.com;
  balancer_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/balancer.lua;
}
lua_code_cache on;
    server {
        listen       80;
        server_name  localhost;
        set $proxy_pass_https_flag "false";
        location / {
            #root   html;
           # index  index.html index.htm;
          if ($proxy_pass_https_flag = "true"){
            proxy_pass https://jxwaf;
          }
          if ($proxy_pass_https_flag = "false"){
            proxy_pass http://jxwaf;
          }
           proxy_set_header Host  $http_host;
           proxy_set_header X-Real-IP $remote_addr;
           proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
    }

    server {
        listen       443 ssl;
        server_name  localhost;
        ssl_certificate      full_chain.pem;
        ssl_certificate_key  private.key;
        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;
        ssl_session_tickets off;
        ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
        ssl_ciphers "EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH:ECDHE-RSA-AES128-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA128:DHE-RSA-AES128-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES128-GCM-SHA128:ECDHE-RSA-AES128-SHA384:ECDHE-RSA-AES128-SHA128:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA128:DHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA384:AES128-GCM-SHA128:AES128-SHA128:AES128-SHA128:AES128-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!R";
        ssl_prefer_server_ciphers  on;
        ssl_certificate_by_lua_file /opt/jxwaf/lualib/resty/jxwaf/ssl.lua;
        set $proxy_pass_https_flag "false";
        location / {
            root   html;
            index  index.html index.htm;
          if ($proxy_pass_https_flag = "true"){
            proxy_pass https://jxwaf;
          }
          if ($proxy_pass_https_flag = "false"){
            proxy_pass http://jxwaf;
          }
            proxy_set_header Host  $http_host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        }
    }

}

对openresty自带属性进行说明:

lua_ssl_trusted_certificate/etc/pki/tls/certs/ca-bundle.crt;

CA bundle是包含根证书和中间证书的文件。使用temsock:sslhandshake方法以PEM格式指定具有受信任CA证书的文件路径,该证书路径用于验证SSL / TLS服务器的证书。

lua_ssl_verify_depth3;

设置服务器证书链中的验证深度。证书链就是Root CA签发二级Intermediate CA,二级Intermediate CA可以签发三级Intermediate CA,也可以直接签发用户证书。从Root CA到用户证书之间构成了一个信任链:信任Root CA,就应该信任它所信任的二级Intermediate CA,从而就应该信任三级Intermediate CA直至信任用户证书。验证深度设置为3就是说如果验证Root CA下面的第三级的证书是否可信。

lua_shared_dict limit_req 100m;

声明一块共享内存区域,里面放着是变量字典数据,在nginx启动的时候,就是读取字典变量的数据。这样的好处是比如说有很多检测规则,SQL注入、XSS、命令注入等规则可以预先放进内存里面,openresty就可以直接去内存数据,而不是进来一个数据包就open一下文件然后close一下,减少对磁盘读写操作。

rewrite_by_lua_no_postpone on;

是否让“rewrite_by_lua”在rewrite阶段的最后执行,默认值是off, 即“rewrite_by_lua”里的Lua代码将在其他Nginx rewrite功能模块之后执行。

lua_code_cache on;

参考这里:https://linux.ci/201.html,在开发调试过程中,可以把它给关闭掉,因为可以实时更新,不需要重启nginx,在生产就要开启,不然性能损耗就非常大。

数了一下openresty11个执行阶段jxwaf就用了8个阶段,接下来讲述这8个阶段的代码将会是本系列的重点。

安装配置

根据目前jxwaf需要的openresty版本为1.15.8.3,使用centos7系统进行安装:

yum install -y readline-devel pcre pcre-devel openssl openssl-devel gcc curl GeoIP-devel  wget 
wget https://openresty.org/download/openresty-1.15.8.3.tar.gz
tar -xvf openresty-1.15.8.3.tar.gz
cd openresty-1.15.8.3
./configure -j2
make -j2
make install

或者单纯windows系统就可以下载Windows的openresty版本

https://openresty.org/download/openresty-1.15.8.3-win64.zip

开发WAF是采用LUA编程语言,LUA还属于小众语言,没有像pycharm这种完整的IDE,LUA IDE的选择可以看自己需要,可以使用vscode+插件进行开发。

lua插件,用于语法高亮和语法说明

1602050219_5f7d58abd89d29714ff9f.png!small

Lua Debug用于调试和运行lua代码

1602050257_5f7d58d1b2c8f499ffa1b.png!small

按F5启动调试,可以看到lua运行成功的代码

1602050318_5f7d590ee5fc1ae81b3ad.png!small

测试

nginx.conf配置文件,我把lua_code_cache给关闭,这样做是因为在测试代码的时候,不用reload nginx,nginx会直接热更新,然后我在content_by_lua_file阶段调用test.lua文件输出内容

worker_processes  1;
events {
    worker_connections  1024;
}
http {
lua_code_cache off;
    server {
        location /test {
           default_type 'text/plain';
           content_by_lua_file 'D:/waf/test.lua';
        }
    }
}
#test.lua
local name = "Anonymous" ngx.say("Hello, ", name, "!") ngx.say("test")

效果如下

1602056263_5f7d7047381647bca634c.png!small

来源:freebuf.com 2020-10-07 15:39:22 by: 陌度

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论