使用 Nginx 三方扩展 ngx_waf 快速实现一个高性能的 Web 应用防火墙

load_module "/path/to/ngx_http_waf_module.so";

load_module "/usr/local/nginx/modules/ngx_http_waf_module.so";

http {
    ...
    server {
        ...
        # on/off 表示启用和关闭
        waf on;

        # 规则文件所在目录的绝对路径，必须以/结尾
        waf_rule_path /usr/local/src/ngx_waf/assets/rules/;

        # 防火墙工作模式，STD表示标准模式
        waf_mode STD;

        # CC防御参数
        # 1000表示每分钟请求次数上限，超出上限后封禁对应ip地址60分钟
        waf_cc_deny rate=1000r/m duration=60m;

        # 最多缓存50个检测目标的检测结果
        # 对除了IP黑白名单检测、CC防护和POST检测以外的所有检测生效
        waf_cache capacity=50;
        ...
    }
    ...
}

http {
    # 声明一块共享内存
    waf_zone name=waf size=20m;
    ...
    server {
        ...
        # on/off 表示启用和关闭
        waf on;

        # 规则文件所在目录的绝对路径，必须以/结尾
        waf_rule_path /usr/local/src/ngx_waf/assets/rules/;

        # 防火墙工作模式，STD表示标准模式
        waf_mode STD;

        # CC防御参数
        # 1000表示每分钟请求次数上限，超出上限后封禁对应ip地址60分钟
        waf_cc_deny on rate=1000r/m duration=60m zone=waf:cc;

        # 对除了IP黑白名单检测、CC防护和POST检测以外的所有检测生效
        waf_cache on capacity=50;
        ...
    }
    ...
}

# LTS

# 将静态资源的请求速率限制到10,000次/分钟
location /static/ {
    waf_cc_deny rate=10000r/m duration=1h;
}

# 将动态资源的请求速率限制到2,000次/分钟
location /dynamic/ {
    waf_cc_deny rate=2000r/m duration=1h;
}

# Current

http {
    waf_zone name=waf size=20m;
    server {
        # 将静态资源的请求速率限制到10,000次/分钟
        location /static/ {
            waf_cc_deny rate=10000r/m duration=1h zone=waf:cc_static;
        }

        # 将动态资源的请求速率限制到2,000次/分钟
        location /dynamic/ {
            waf_cc_deny rate=2000r/m duration=1h zone=waf:cc_dynamic;
        }
    }
}

# 整个站点开启验证码
server {
    waf_captcha on prov=hCaptcha secret=your_secret sitekey=your_sitekey;
}

# 为某个路径开启验证码
location {
    waf_captcha on prov=hCaptcha secret=your_secret sitekey=your_sitekey;
}

# 当访问频率过高时开启验证码
http {
    waf_zone name=waf size=20m;
    server {
        waf_cc_deny on rate=1000r/m duration=1h zone=waf:cc;
        waf_captcha off prov=hCaptcha secret=your_secret sitekey=your_sitekey;
        waf_action cc_deny=CAPTCHA zone=waf:action;
    }
}

http {
    waf_zone name=waf size=20m;

    server {
        waf_captcha off prov=xxx sitekey=xxx secret=xxx;
        waf_action blacklist=CAPTCHA zone=waf:action;
    }
}

# LTS
waf_http_status cc_deny=444;

# Current
waf_action cc_deny=444;

# LTS

# 为整个网站开启五秒盾
server {
    waf_under_attack on file=/path/to/under_attack.html;
}

# 为某个路径开启五秒盾
location /path {
    waf_under_attack on file=/path/to/under_attack.html;
}

# Current

# 为整个网站开启五秒盾
server {
    waf_under_attack on;
}

# 为某个路径开启五秒盾
location /path {
    waf_under_attack on;
}

# 测试时的配置
master_process on;
worker_processes  1;

http {
    server {
        listen 80;
        server_name  localhost;

        access_log off;

        waf on;
        waf_mode DYNAMIC !CC !POST;
        waf_rule_path /usr/local/src/ngx_waf/rules/;
        waf_cache capacity=6000 interval=1h percent=50;

        location / {
            default_type text/html;
            return 200 'hello';
        }
    }
}

# rewrite
if (!-e $request_filename) {
    rewrite (.*) /index.php
}

# try_files
try_files $uri $uri/ /index.php;