From c7ce9b7f0266beaec4d4b4b40e12156faa5b1946 Mon Sep 17 00:00:00 2001 From: zhengji <407562752@qq.com> Date: Tue, 27 Oct 2015 18:05:39 +0800 Subject: [PATCH 1/5] fix table concat bug fix /ngx_lua_waf/waf.lua:75: invalid value (boolean) at index 1 in table for 'concat' Issue:https://github.com/loveshell/ngx_lua_waf/issues/69 --- waf.lua | 3 +++ 1 file changed, 3 insertions(+) diff --git a/waf.lua b/waf.lua index bc9821c..257bb84 100644 --- a/waf.lua +++ b/waf.lua @@ -70,6 +70,9 @@ elseif PostCheck then end for key, val in pairs(args) do if type(val) == "table" then + if type(val[1]) == "boolean" then + return + end data=table.concat(val, ", ") else data=val From bbc0863fe6d1c8f76df144fe2ba2a2a4d75795f6 Mon Sep 17 00:00:00 2001 From: zhengji Date: Sun, 8 Nov 2015 12:01:26 +0800 Subject: [PATCH 2/5] =?UTF-8?q?=E6=B7=BB=E5=8A=A0server=5Fname=20=E7=99=BD?= =?UTF-8?q?=E5=90=8D=E5=8D=95=E5=8A=9F=E8=83=BD?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- README.md | 276 ++++++++++++++++++++++++++--------------------------- config.lua | 1 + init.lua | 12 +++ waf.lua | 1 + 4 files changed, 152 insertions(+), 138 deletions(-) diff --git a/README.md b/README.md index 9504cfb..72b1ed3 100644 --- a/README.md +++ b/README.md @@ -1,138 +1,138 @@ -##ngx_lua_waf - -ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 - -代码很简单，开发初衷主要是使用简单，高性能和轻量级。 - -现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 - -###用途： - - 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 - 防止svn/备份之类文件泄漏 - 防止ApacheBench之类压力测试工具的攻击 - 屏蔽常见的扫描黑客工具，扫描器 - 屏蔽异常的网络请求 - 屏蔽图片附件类目录php执行权限 - 防止webshell上传 - -###推荐安装: - -推荐使用lujit2.1做lua支持 - -ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 - - -###使用说明： - -nginx安装路径假设为:/usr/local/nginx/conf/ - -把ngx_lua_waf下载到conf目录下,解压命名为waf - -在nginx.conf的http段添加 - - lua_package_path "/usr/local/nginx/conf/waf/?.lua"; - lua_shared_dict limit 10m; - init_by_lua_file /usr/local/nginx/conf/waf/init.lua; - access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; - -配置config.lua里的waf规则目录(一般在waf/conf/目录下) - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - -绝对路径如有变动，需对应修改 - -然后重启nginx即可 - - -###配置文件详细说明： - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - --规则存放目录 - attacklog = "off" - --是否开启攻击信息记录，需要配置logdir - logdir = "/usr/local/nginx/logs/hack/" - --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 - UrlDeny="on" - --是否拦截url访问 - Redirect="on" - --是否拦截后重定向 - CookieMatch = "on" - --是否拦截cookie攻击 - postMatch = "on" - --是否拦截post攻击 - whiteModule = "on" - --是否开启URL白名单 - black_fileExt={"php","jsp"} - --填写不允许上传文件后缀类型 - ipWhitelist={"127.0.0.1"} - --ip白名单，多个ip用逗号分隔 - ipBlocklist={"1.0.0.1"} - --ip黑名单，多个ip用逗号分隔 - CCDeny="on" - --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) - CCrate = "100/60" - --设置cc攻击频率，单位为秒. - --默认1分钟同一个IP只能请求同一个地址100次 - html=[[Please go away~~]] - --警告内容,可在中括号内自定义 - 备注:不要乱动双引号，区分大小写 - -###检查规则是否生效 - -部署完毕可以尝试如下命令： - - curl http://xxxx/test.php?id=../etc/passwd - 返回"Please go away~~"字样，说明规则生效。 - -注意:默认，本机在白名单不过滤，可自行调整config.lua配置 - - -###效果图如下： - -![sec](http://i.imgur.com/wTgOcm2.png) - -![sec](http://i.imgur.com/DqU30au.png) - -###规则更新： - -考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 - -规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 - -只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 - -###一些说明： - - 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 - - args里面的规则get参数进行过滤的 - url是只在get请求url过滤的规则 - post是只在post请求过滤的规则 - whitelist是白名单，里面的url匹配到不做过滤 - user-agent是对user-agent的过滤规则 - - - 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 - - 日志文件名称格式如下:虚拟主机名_sec.log - - -## Copyright - - - - - - - - - - - - - - -
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
- -感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 +##ngx_lua_waf + +ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 + +代码很简单，开发初衷主要是使用简单，高性能和轻量级。 + +现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 + +###用途： + + 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 + 防止svn/备份之类文件泄漏 + 防止ApacheBench之类压力测试工具的攻击 + 屏蔽常见的扫描黑客工具，扫描器 + 屏蔽异常的网络请求 + 屏蔽图片附件类目录php执行权限 + 防止webshell上传 + +###推荐安装: + +推荐使用lujit2.1做lua支持 + +ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 + + +###使用说明： + +nginx安装路径假设为:/usr/local/nginx/conf/ + +把ngx_lua_waf下载到conf目录下,解压命名为waf + +在nginx.conf的http段添加 + + lua_package_path "/usr/local/nginx/conf/waf/?.lua"; + lua_shared_dict limit 10m; + init_by_lua_file /usr/local/nginx/conf/waf/init.lua; + access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; + +配置config.lua里的waf规则目录(一般在waf/conf/目录下) + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + +绝对路径如有变动，需对应修改 + +然后重启nginx即可 + + +###配置文件详细说明： + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + --规则存放目录 + attacklog = "off" + --是否开启攻击信息记录，需要配置logdir + logdir = "/usr/local/nginx/logs/hack/" + --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 + UrlDeny="on" + --是否拦截url访问 + Redirect="on" + --是否拦截后重定向 + CookieMatch = "on" + --是否拦截cookie攻击 + postMatch = "on" + --是否拦截post攻击 + whiteModule = "on" + --是否开启URL白名单 + black_fileExt={"php","jsp"} + --填写不允许上传文件后缀类型 + ipWhitelist={"127.0.0.1"} + --ip白名单，多个ip用逗号分隔 + ipBlocklist={"1.0.0.1"} + --ip黑名单，多个ip用逗号分隔 + CCDeny="on" + --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) + CCrate = "100/60" + --设置cc攻击频率，单位为秒. + --默认1分钟同一个IP只能请求同一个地址100次 + html=[[Please go away~~]] + --警告内容,可在中括号内自定义 + 备注:不要乱动双引号，区分大小写 + +###检查规则是否生效 + +部署完毕可以尝试如下命令： + + curl http://xxxx/test.php?id=../etc/passwd + 返回"Please go away~~"字样，说明规则生效。 + +注意:默认，本机在白名单不过滤，可自行调整config.lua配置 + + +###效果图如下： + +![sec](http://i.imgur.com/wTgOcm2.png) + +![sec](http://i.imgur.com/DqU30au.png) + +###规则更新： + +考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 + +规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 + +只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 + +###一些说明： + + 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 + + args里面的规则get参数进行过滤的 + url是只在get请求url过滤的规则 + post是只在post请求过滤的规则 + whitelist是白名单，里面的url匹配到不做过滤 + user-agent是对user-agent的过滤规则 + + + 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 + + 日志文件名称格式如下:虚拟主机名_sec.log + + +## Copyright + + + + + + + + + + + + + + +
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
+ +感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 diff --git a/config.lua b/config.lua index 6e66ce6..0979859 100644 --- a/config.lua +++ b/config.lua @@ -8,6 +8,7 @@ postMatch="on" whiteModule="on" black_fileExt={"php","jsp"} ipWhitelist={"127.0.0.1"} +servernameWhitelist={"www.baidu.com"} ipBlocklist={"1.0.0.1"} CCDeny="off" CCrate="100/60" diff --git a/init.lua b/init.lua index eb44bf0..dff380b 100644 --- a/init.lua +++ b/init.lua @@ -241,3 +241,15 @@ function blockip() end return false end + +function whiteSvrName() + if next(servernameWhitelist) ~= nil then + for _,svrname in pairs(servernameWhitelist) do + if ngx.var.server_name == svrname then + return true + end + end + end + return false +end + diff --git a/waf.lua b/waf.lua index 257bb84..f1f57f0 100644 --- a/waf.lua +++ b/waf.lua @@ -3,6 +3,7 @@ local method=ngx.req.get_method() local ngxmatch=ngx.re.match if whiteip() then elseif blockip() then +elseif whiteSvrName() then elseif denycc() then elseif ngx.var.http_Acunetix_Aspect then ngx.exit(444) From 07433a9c3db8898b774615af6b9005ba23ee6013 Mon Sep 17 00:00:00 2001 From: zhengji Date: Sun, 8 Nov 2015 12:08:44 +0800 Subject: [PATCH 3/5] =?UTF-8?q?Revert=20"=E6=B7=BB=E5=8A=A0server=5Fname?= =?UTF-8?q?=20=E7=99=BD=E5=90=8D=E5=8D=95=E5=8A=9F=E8=83=BD"?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit This reverts commit bbc0863fe6d1c8f76df144fe2ba2a2a4d75795f6. --- README.md | 276 ++++++++++++++++++++++++++--------------------------- config.lua | 1 - init.lua | 12 --- waf.lua | 1 - 4 files changed, 138 insertions(+), 152 deletions(-) diff --git a/README.md b/README.md index 72b1ed3..9504cfb 100644 --- a/README.md +++ b/README.md @@ -1,138 +1,138 @@ -##ngx_lua_waf - -ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 - -代码很简单，开发初衷主要是使用简单，高性能和轻量级。 - -现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 - -###用途： - - 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 - 防止svn/备份之类文件泄漏 - 防止ApacheBench之类压力测试工具的攻击 - 屏蔽常见的扫描黑客工具，扫描器 - 屏蔽异常的网络请求 - 屏蔽图片附件类目录php执行权限 - 防止webshell上传 - -###推荐安装: - -推荐使用lujit2.1做lua支持 - -ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 - - -###使用说明： - -nginx安装路径假设为:/usr/local/nginx/conf/ - -把ngx_lua_waf下载到conf目录下,解压命名为waf - -在nginx.conf的http段添加 - - lua_package_path "/usr/local/nginx/conf/waf/?.lua"; - lua_shared_dict limit 10m; - init_by_lua_file /usr/local/nginx/conf/waf/init.lua; - access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; - -配置config.lua里的waf规则目录(一般在waf/conf/目录下) - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - -绝对路径如有变动，需对应修改 - -然后重启nginx即可 - - -###配置文件详细说明： - - RulePath = "/usr/local/nginx/conf/waf/wafconf/" - --规则存放目录 - attacklog = "off" - --是否开启攻击信息记录，需要配置logdir - logdir = "/usr/local/nginx/logs/hack/" - --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 - UrlDeny="on" - --是否拦截url访问 - Redirect="on" - --是否拦截后重定向 - CookieMatch = "on" - --是否拦截cookie攻击 - postMatch = "on" - --是否拦截post攻击 - whiteModule = "on" - --是否开启URL白名单 - black_fileExt={"php","jsp"} - --填写不允许上传文件后缀类型 - ipWhitelist={"127.0.0.1"} - --ip白名单，多个ip用逗号分隔 - ipBlocklist={"1.0.0.1"} - --ip黑名单，多个ip用逗号分隔 - CCDeny="on" - --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) - CCrate = "100/60" - --设置cc攻击频率，单位为秒. - --默认1分钟同一个IP只能请求同一个地址100次 - html=[[Please go away~~]] - --警告内容,可在中括号内自定义 - 备注:不要乱动双引号，区分大小写 - -###检查规则是否生效 - -部署完毕可以尝试如下命令： - - curl http://xxxx/test.php?id=../etc/passwd - 返回"Please go away~~"字样，说明规则生效。 - -注意:默认，本机在白名单不过滤，可自行调整config.lua配置 - - -###效果图如下： - -![sec](http://i.imgur.com/wTgOcm2.png) - -![sec](http://i.imgur.com/DqU30au.png) - -###规则更新： - -考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 - -规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 - -只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 - -###一些说明： - - 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 - - args里面的规则get参数进行过滤的 - url是只在get请求url过滤的规则 - post是只在post请求过滤的规则 - whitelist是白名单，里面的url匹配到不做过滤 - user-agent是对user-agent的过滤规则 - - - 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 - - 日志文件名称格式如下:虚拟主机名_sec.log - - -## Copyright - - - - - - - - - - - - - - -
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
- -感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 +##ngx_lua_waf + +ngx_lua_waf是我刚入职趣游时候开发的一个基于ngx_lua的web应用防火墙。 + +代码很简单，开发初衷主要是使用简单，高性能和轻量级。 + +现在开源出来，遵从MIT许可协议。其中包含我们的过滤规则。如果大家有什么建议和想fa，欢迎和我一起完善。 + +###用途： + + 防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击 + 防止svn/备份之类文件泄漏 + 防止ApacheBench之类压力测试工具的攻击 + 屏蔽常见的扫描黑客工具，扫描器 + 屏蔽异常的网络请求 + 屏蔽图片附件类目录php执行权限 + 防止webshell上传 + +###推荐安装: + +推荐使用lujit2.1做lua支持 + +ngx_lua如果是0.9.2以上版本，建议正则过滤函数改为ngx.re.find，匹配效率会提高三倍左右。 + + +###使用说明： + +nginx安装路径假设为:/usr/local/nginx/conf/ + +把ngx_lua_waf下载到conf目录下,解压命名为waf + +在nginx.conf的http段添加 + + lua_package_path "/usr/local/nginx/conf/waf/?.lua"; + lua_shared_dict limit 10m; + init_by_lua_file /usr/local/nginx/conf/waf/init.lua; + access_by_lua_file /usr/local/nginx/conf/waf/waf.lua; + +配置config.lua里的waf规则目录(一般在waf/conf/目录下) + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + +绝对路径如有变动，需对应修改 + +然后重启nginx即可 + + +###配置文件详细说明： + + RulePath = "/usr/local/nginx/conf/waf/wafconf/" + --规则存放目录 + attacklog = "off" + --是否开启攻击信息记录，需要配置logdir + logdir = "/usr/local/nginx/logs/hack/" + --log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限 + UrlDeny="on" + --是否拦截url访问 + Redirect="on" + --是否拦截后重定向 + CookieMatch = "on" + --是否拦截cookie攻击 + postMatch = "on" + --是否拦截post攻击 + whiteModule = "on" + --是否开启URL白名单 + black_fileExt={"php","jsp"} + --填写不允许上传文件后缀类型 + ipWhitelist={"127.0.0.1"} + --ip白名单，多个ip用逗号分隔 + ipBlocklist={"1.0.0.1"} + --ip黑名单，多个ip用逗号分隔 + CCDeny="on" + --是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;) + CCrate = "100/60" + --设置cc攻击频率，单位为秒. + --默认1分钟同一个IP只能请求同一个地址100次 + html=[[Please go away~~]] + --警告内容,可在中括号内自定义 + 备注:不要乱动双引号，区分大小写 + +###检查规则是否生效 + +部署完毕可以尝试如下命令： + + curl http://xxxx/test.php?id=../etc/passwd + 返回"Please go away~~"字样，说明规则生效。 + +注意:默认，本机在白名单不过滤，可自行调整config.lua配置 + + +###效果图如下： + +![sec](http://i.imgur.com/wTgOcm2.png) + +![sec](http://i.imgur.com/DqU30au.png) + +###规则更新： + +考虑到正则的缓存问题，动态规则会影响性能，所以暂没用共享内存字典和redis之类东西做动态管理。 + +规则更新可以把规则文件放置到其他服务器，通过crontab任务定时下载来更新规则，nginx reload即可生效。以保障ngx lua waf的高性能。 + +只记录过滤日志，不开启过滤，在代码里在check前面加上--注释即可，如果需要过滤，反之 + +###一些说明： + + 过滤规则在wafconf下，可根据需求自行调整，每条规则需换行,或者用|分割 + + args里面的规则get参数进行过滤的 + url是只在get请求url过滤的规则 + post是只在post请求过滤的规则 + whitelist是白名单，里面的url匹配到不做过滤 + user-agent是对user-agent的过滤规则 + + + 默认开启了get和post过滤，需要开启cookie过滤的，编辑waf.lua取消部分--注释即可 + + 日志文件名称格式如下:虚拟主机名_sec.log + + +## Copyright + + + + + + + + + + + + + + +
Weibo神奇的魔法师
Forumhttp://bbs.linuxtone.org/
CopyrightCopyright (c) 2013- loveshell
LicenseMIT License
+ +感谢ngx_lua模块的开发者[@agentzh](https://github.com/agentzh/),春哥是我所接触过开源精神最好的人 diff --git a/config.lua b/config.lua index 0979859..6e66ce6 100644 --- a/config.lua +++ b/config.lua @@ -8,7 +8,6 @@ postMatch="on" whiteModule="on" black_fileExt={"php","jsp"} ipWhitelist={"127.0.0.1"} -servernameWhitelist={"www.baidu.com"} ipBlocklist={"1.0.0.1"} CCDeny="off" CCrate="100/60" diff --git a/init.lua b/init.lua index dff380b..eb44bf0 100644 --- a/init.lua +++ b/init.lua @@ -241,15 +241,3 @@ function blockip() end return false end - -function whiteSvrName() - if next(servernameWhitelist) ~= nil then - for _,svrname in pairs(servernameWhitelist) do - if ngx.var.server_name == svrname then - return true - end - end - end - return false -end - diff --git a/waf.lua b/waf.lua index f1f57f0..257bb84 100644 --- a/waf.lua +++ b/waf.lua @@ -3,7 +3,6 @@ local method=ngx.req.get_method() local ngxmatch=ngx.re.match if whiteip() then elseif blockip() then -elseif whiteSvrName() then elseif denycc() then elseif ngx.var.http_Acunetix_Aspect then ngx.exit(444) From a83d5bc3561c31b3e1d088a2b114350959d0e619 Mon Sep 17 00:00:00 2001 From: zhengji Date: Sun, 8 Nov 2015 12:09:18 +0800 Subject: [PATCH 4/5] Revert "fix table concat bug " This reverts commit c7ce9b7f0266beaec4d4b4b40e12156faa5b1946. --- waf.lua | 3 --- 1 file changed, 3 deletions(-) diff --git a/waf.lua b/waf.lua index 257bb84..bc9821c 100644 --- a/waf.lua +++ b/waf.lua @@ -70,9 +70,6 @@ elseif PostCheck then end for key, val in pairs(args) do if type(val) == "table" then - if type(val[1]) == "boolean" then - return - end data=table.concat(val, ", ") else data=val From c10ccf24fa2382cd8a594d7a2e9cf6b5e97cb163 Mon Sep 17 00:00:00 2001 From: zhengji Date: Sun, 8 Nov 2015 12:11:39 +0800 Subject: [PATCH 5/5] =?UTF-8?q?=E6=B7=BB=E5=8A=A0=20server=5Fname=20?= =?UTF-8?q?=E7=99=BD=E5=90=8D=E5=8D=95=EF=BC=8C=E7=BB=99=E6=8C=87=E5=AE=9A?= =?UTF-8?q?=E7=9A=84server=5Fname=20=E6=94=BE=E8=A1=8C?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- config.lua | 1 + init.lua | 12 ++++++++++++ waf.lua | 1 + 3 files changed, 14 insertions(+) diff --git a/config.lua b/config.lua index 6e66ce6..321f8aa 100644 --- a/config.lua +++ b/config.lua @@ -8,6 +8,7 @@ postMatch="on" whiteModule="on" black_fileExt={"php","jsp"} ipWhitelist={"127.0.0.1"} +servernameWhitelist={"www.xx.com"} ipBlocklist={"1.0.0.1"} CCDeny="off" CCrate="100/60" diff --git a/init.lua b/init.lua index eb44bf0..871c491 100644 --- a/init.lua +++ b/init.lua @@ -241,3 +241,15 @@ function blockip() end return false end + +function whiteSvrName() + if next(servernameWhitelist) ~= nil then + for _,svrname in pairs(servernameWhitelist) do + if ngx.var.server_name == svrname then + return true + end + end + end + return false +end + diff --git a/waf.lua b/waf.lua index bc9821c..b8b9386 100644 --- a/waf.lua +++ b/waf.lua @@ -3,6 +3,7 @@ local method=ngx.req.get_method() local ngxmatch=ngx.re.match if whiteip() then elseif blockip() then +elseif whiteSvrName() then elseif denycc() then elseif ngx.var.http_Acunetix_Aspect then ngx.exit(444)