文字咖
WAF 中文名是 Web 应用防火墙， WAF 能够根据规则拦截 SQL 注入、恶意请求、黑客扫描等 HTTP 请求从而保护 WEB 应用的安全。而 ngx_lua_waf 是一个基于 lua-nginx-module(openresty) 的 web 应用防火墙。
项目地址：https://github.com/loveshell/ngx_lua_waf
1. 主要用途：
(1) 防止 sql 注入，本地包含，部分溢出，fuzzing 测试，xss，SSRF 等 web 攻击
(2) 防止 svn/备份之类文件泄漏
(3) 防止 ApacheBench 之类压力测试工具的攻击
(4) 屏蔽常见的扫描黑客工具，扫描器
(5) 屏蔽异常的网络请求
(6) 屏蔽图片附件类目录 php 执行权限
(7) 防止 webshell 上传
2. lua 支持安装
由于文字咖使用的是军哥一键 LNMP 安装包，LNMP 一键安装包从 1.5 开始增加了 lua 支持的选项，可以通过修改 lnmp.conf 中 Enable_Nginx_Lua 后的参数为 y 来启用 lua ！
(1) 如果没安装 lnmp ，修改 lnmp.conf 后保存，安装完 lnmp 就是支持 lua 了；
(2) 如果已经安装好 lnmp ，也是按前面修改 lnmp.conf ，然后 lnmp 安装包目录下 ./upgrade.sh nginx 升级 nginx，输入当前 nginx 版本号或更新的 nginx 版本号，升级完成就是支持 lua 的了。
3. 安装 ngx_lua_waf
wget https://github.com/loveshell/ngx_lua_waf/archive/master.zip -O ngx_lua_waf.zip unzip ngx_lua_waf.zip mv ngx_lua_waf-master /usr/local/nginx/conf/waf
4. nginx 上设置并启用 ngx_lua_waf
编辑 /usr/local/nginx/conf/nginx.conf 在 server_tokens off; 下面添加如下代码：
lua_package_path "/usr/local/nginx/conf/waf/?.lua"; lua_shared_dict limit 10m; init_by_lua_file /usr/local/nginx/conf/waf/init.lua;
修改完成保存！
5. 添加到网站
如果我们需要添加到某个网站，则只需要在当前网站 .conf 文件中 server 段，在该 server 段中 root 网站目录行下面添加如下代码：
access_by_lua_file /usr/local/nginx/conf/waf/waf.lua;
测试 nginx 配置文件：/usr/local/nginx/sbin/nginx -t
重载 ngin x配置生效：/usr/local/nginx/sbin/nginx -s reload
如果测试和重载都没报错就已经生效。
6. 测试是否生效
可以通过访问 http://域名/test.php?id=../etc/passwd 看是否会出现下面提示：
如果出现上图提示，说明已经正确设置！
7. WAF参数修改设置
ngx_lua_waf 配置文件位置：/usr/local/nginx/conf/waf/config.lua
ngx_lua_waf 配置文件参数说明：
RulePath = "/usr/local/nginx/conf/waf/wafconf/"
--规则存放目录
attacklog = "off"
--是否开启攻击信息记录，需要配置logdir
logdir = "/usr/local/nginx/logs/hack/"
--log存储目录，该目录需要用户自己新建，切需要nginx用户的可写权限
UrlDeny="on"
--是否拦截url访问
Redirect="on"
--是否拦截后重定向
CookieMatch = "on"
--是否拦截cookie攻击
postMatch = "on"
--是否拦截post攻击
whiteModule = "on"
--是否开启URL白名单
black_fileExt={"php","jsp"}
--填写不允许上传文件后缀类型
ipWhitelist={"127.0.0.1"}
--ip白名单，多个ip用逗号分隔
ipBlocklist={"1.0.0.1"}
--ip黑名单，多个ip用逗号分隔
CCDeny="on"
--是否开启拦截cc攻击(需要nginx.conf的http段增加lua_shared_dict limit 10m;)
CCrate = "100/60"
--设置cc攻击频率，单位为秒.
--默认1分钟同一个IP只能请求同一个地址100次
html=[[Please go away~~]] --警告内容,可在中括号内自定义
备注:不要乱动双引号，区分大小写
8. 特别注意
文字咖配置完 ngx_lua_waf 后，发现无法发表文章，后台无法添加媒体！
解决办法：修改 config.lua 配置，该问题是开启了 post 攻击拦截导致，关闭之后问题解决。
postMatch="off" –是否开启 POST 攻击拦截
到此 ngx_lua_waf 安装教程到此结束！
