ModSecurity 晋级-如何调用lua脚本进行防御快速入门（补充：开启IP－GEO封禁）

 vim xss_detect.lua 

local string_find = string.find
local m_getvars = m.getvars
local m_log = m.log
function main()
   --Retrieve all parameters
   local get_vars = m_getvars("ARGS_GET",{"lowercase","htmlEntityDecode"});

   --Examine all variables
   for _,v in pairs(get_vars) do
        if(string_find(v.value,"<script")) then
           --log something
           m_log(4,"Just a TEST, I'm hungry, but it is 4:33 p.m ")
           return("Suspected XSS in variable: " .. v.name .. ".")
        end
   end

   -- Nothing wrong found.
   return nil
end

vim /etc/modsecurity/modsecurity.conf

SecDebugLog /var/log/apache2/modsec_debug.log
SecDebugLogLevel 4 

vim /usr/share/modsecurity-crs/activated_rules/MY.conf

SecRuleScript /home/tanjiti/lua_script_modsecurity/xss_detect.lua " deny,msg:'suspected xss detect',id:1000001,phase:2,prepend:'suspected xss found. <script>window.location=\"/\";</script>'"

vim /etc/modsecurity/modsecurity.conf

#enable prepend append action 
SecContentInjection On

service apache2 reload

service apache2 reload

./HTTP.pl -url 'http://localhost:8080/xss.php?name=<script>alert(1);</script>'

vim /var/log/apache2/modsec_audit.log

 黄线部分 就是lua脚本if逻辑中的return语句

我们察看modsecurity debug日志

vim /var/log/apache2/modsec_debug.log

 黄线部分 就是lua脚本if逻辑中的m.log输出语句

四、Lua脚本调试

SecRuleScript /root/lua_script_modsecurity/log2File.lua 

more /tmp/modsec_wafLog.log （默认路径）

 

样例2:文件上传请求

http localhost/a/b/xss.php file1@HTTP.pl file2@HTTPFromFile.pl submit=submit get_a="<sc" get_b="im>" -f -v

(附:HTTP的使用见 HTTP发包工具 －HTTPie) 

发送如下请求包

 

 日志记录如下: 

 

补充Modsecurity案例：按IP地址进行封禁

第一步：开启Geo查找功能

vim /usr/share/modsecurity-crs/modsecurity_crs_10_setup.conf 

增加（或者去掉原本注释）

SecGeoLookupDb /usr/share/GeoIP/GeoLiteCity.dat

GeoIP库的安装见使用免费的本地IP地理库来定位IP地理位置－GeoIP lookup

第二步：添加ModSecurity规则，按IP归属地国家的白名单进行封禁操作

vim /usr/share/modsecurity-crs/activated_rules/MY.conf 

SecRule REMOTE_ADDR "@geoLookup" "chain,id:0000006,phase:1,drop,msg:'Non-allowed IP address'"
SecRule &GEO "ge 0" "chain"
SecRule GEO:COUNTRY_CODE "!@pm US CN JP"

[科普文]ubuntu上安装Apache2+ModSecurity及自定义WAF规则

ModSecurity SecRule cheatsheets

ModSecurity CRS 笔记、WAF防御checklist,及WAF架构的一些想法