OpenWAF скачать - скачать исходный код OpenWAF

Имя

OpenWaf

Первая универсальная система защиты веб-безопасности с открытым исходным кодом, больше защиты, чем другие.

Имя
Версия
Синопсис
Описание
Установка
Сообщество
- Английский список рассылки
- Китайский список рассылки
- Личная QQ Mail
Ошибки и патчи
Тодо
Изменения
Авторские права и лицензия
Директивы на конфигурацию модулей
Nginx переменные
Секрулы
- Переменные
- Функции преобразования
- Операторы
- Другие
Пожертвование

Версия

Этот документ описывает OpenWAF v1.1, выпущенный 8 марта 2021 года.

Изображения Dockerfile и Docker были обновлены до версии 1.1 8 марта 2021 года.

Синопсис

    #nginx.conf
    lua_package_path '/twaf/?.lua;;' ;
    
    init_by_lua_file /twaf/app/twaf_init.lua;
    
    lua_shared_dict twaf_shm 50m ;
    
    upstream test {
        server 0.0.0.1 ; #just an invalid address as a place holder
        balancer_by_lua_file twaf_balancer.lua;
    }
    
    server {
        listen 443 ssl;
        server_name _;
        
        ssl_certificate_by_lua_file  twaf_ssl_cert.lua;
        rewrite_by_lua_file          /twaf/app/twaf_rewrite.lua;
        access_by_lua_file           /twaf/app/twaf_access.lua;
        header_filter_by_lua_file    /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file      /twaf/app/twaf_body_filter.lua
        log_by_lua_file              /twaf/app/twaf_log.lua;
        
        set $twaf_https 1 ;
        set $twaf_upstream_server "" ;
        
        ssl_certificate nginx.crt;
        ssl_certificate_key nginx.key;
        
        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server ;
        }
    }
    
    server {
        listen      80 ;
        server_name  _;
        
        rewrite_by_lua_file       /twaf/app/twaf_rewrite.lua;
        access_by_lua_file        /twaf/app/twaf_access.lua;
        header_filter_by_lua_file /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file   /twaf/app/twaf_body_filter.lua
        log_by_lua_file           /twaf/app/twaf_log.lua;
        
        set $twaf_upstream_server "" ;
        
        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server ;
        }
    }

    #default_config-json

    #main_safe_policy-json

Вернемся к TOC

Описание

OpenWAF - это первая полностью система защиты веб -приложений с открытым исходным кодом (WAF), основанная на анализе API NGINX_LUA информации HTTP -запроса. OpenWAF состоит из двух функциональных двигателей: двигатель анализа поведения и двигатель правил. Двигатель правил в основном анализирует отдельные запросы, и двигатель анализа поведения в основном отвечает за отслеживание информации о запросе.
Двигатель правил, вдохновленный Modsecurity и Freewaf (Lua-Resty-WAF), правила моды, правила, будут реализованы с использованием LUA. Двигатель правил может быть основан на спецификации протокола, автоматических инструментах, атаках инъекций, атаках поперечного сайта, утечкам информации и другим запросам на исключение безопасности, добавляя поддержку динамических правил, своевременно уязвимостей по ремонту.
Двигатель анализа поведения, включающий нечеткую идентификацию, основанную на частоте, анти вредоносном канале, идентификационном идентификационном идентификаторе человека, идентификации, анти-CSRF, анти-CC, антиправой, модуль загрузки файлов атаки от атаки, доказательство FAMPER FAMPER, антикратные цепь, пользовательские заголовки и реакция на страницу атаки. Проверка информационного раскрытия.
В дополнение к двум двигателям, но также включает в себя статистику, журнал, страницу ответа атаки, правила доступа и другие основные модули. В дополнение к существующим функциональным модулям, OpenWAF также поддерживает динамическую модификацию конфигурации, динамическое добавление сторонних модулей, так что двигатель не перезагружается в условиях отключения, защиты от обновления.
OpenWAF поддерживает вышеуказанные функции в качестве стратегии для различных приложений для веб -приложений с различными стратегиями для защиты. Будущее построит облачную платформу, стратегия также может быть передана для других.

Основные модули:

openwaf_conf
openwaf_log
openwaf_reqstat
openwaf_core
OpenWAF_ACCESS_RULE

безопасные модули:

openwaf_rule_engine
OpenWAF_ATTACK_RESPONSE
openwaf_api
openwaf_anti_mal_crawler
openwaf_anti_cc

Подробные конфигурационные документы и примеры, пожалуйста, обратитесь к документации приведенной выше модуля

Вернемся к TOC

Установка

请看 OpenWaf 安装文档

Вернемся к TOC

Сообщество

Английский список рассылки

Список рассылки OpenWAF-EN предназначен для динамиков английского языка.

Китайский список рассылки

Список рассылки OpenWAF-CN предназначен для китайских носителей.

Личная QQ Mail

[email protected]

QQ Group

579790127

Вернемся к TOC

Ошибки и патчи

Пожалуйста, отправьте отчеты об ошибках, списках желаний или исправления

Создание билета на трекере выпуска GitHub,
или публикация в сообщество OpenWAF.

Вернемся к TOC

Тодо

Добавить динамический переключатель модуля access_rule
Поддержка соединения SSO
Динамический токен
Apisg (API Security Gateway)
Насмехаться

Вернемся к TOC

Изменения

Изменение

Вернемся к TOC

Авторские права и лицензия

Этот модуль лицензирован по лицензии BSD.

Перераспределение и использование в исходных и бинарных формах, с изменением или без них разрешены при условии, что следующие условия выполняются:

Перераспределение исходного кода должно сохранить вышеуказанное уведомление об авторском праве, этот список условий и следующее отказ от ответственности.
Перераспределение в двоичной форме должно воспроизводить вышеуказанное уведомление об авторском праве, этот список условий и следующее отказ от ответственности в документации и/или других материалах, предоставленных при распределении.

Это программное обеспечение предоставляется владельцами авторского права и участниками «как есть», и любые явные или подразумеваемые гарантии, включая, но не ограничиваясь, подразумеваемые гарантии товарной пригодности и пригодности для определенной цели, отказаны. Ни в коем случае владелец авторского права не несет ответственности за любые прямые, косвенные, случайные, особые, примерные или косвенные убытки (включая, но не ограничиваясь, закупку заместительных товаров или услуг; потеря использования, данные или прибыль; или перерыв в бизнесе), однако, вызвано и по какой -либо теории, будь то в контракте, строгое лику Советуют о возможности такого ущерба.

Вернемся к TOC

Директивы на конфигурацию модулей

TWAF_ACCESS_RULE
twaf_anti_hotlink
twaf_anti_mal_crawler
TWAF_REQSTAT
twaf_log
TWAF_SECRULES
TWAF_ANTI_CC

Вернемся к TOC

TWAF_ACCESS_RULE

{
    "twaf_access_rule": {
        "rules": [                                 -- 注意先后顺序
            {                                      
                "user": "user_id",                 -- 用户名ID，非必填，默认值"-"
                "ngx_ssl": false,                  -- nginx认证的开关，非必填，默认值false
                "ngx_ssl_cert": "path",            -- nginx认证所需PEM证书地址
                "ngx_ssl_key": "path",             -- nginx认证所需PEM私钥地址
                "host": " ^ 1\.1\.1\.1 $ ",         -- 域名，支持正则匹配，支持字符串或数组，同时支持IPv4/IPv6
                "port": 80,                        -- 端口号。支持number或数组类型，非必填，默认值80或443
                "path": "/",                      -- 路径，支持正则匹配，非必填，默认值"/"
                "url_case_sensitive": false,       -- 路径区分大小写，boolean类型，非必填，默认值 false
                "server_ssl": false,               -- 后端服务器ssl开关，boolean类型，非必填，默认值 false
                "forward": "server_5",             -- 后端服务器upstream名称，string类型
                "forward_addr": "1.1.1.2",         -- 后端服务器ip地址，string类型
                "forward_port": "8080",            -- 后端服务器端口号，非必填，默认值80或443
                "uuid": "access_567b067ff2060",    -- 用来标记此规则的uuid，非必填，默认16位随机字符串
                "policy": "policy_uuid"            -- 安全策略ID，string类型，非必填，默认值twaf_default_conf
            }
        ]
    }
}

правила

Синтаксис: «Правила»: таблица

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE

Таблица 类型接入规则接入规则顺序匹配

пользователь

Синтаксис: «Пользователь»: строка

по умолчанию: -

Контекст: TWAF_ACCESS_RULE: Правила

Строка 类型。用户名 ID 。对应变量 %{userId}。

非必填，默认值 "-".

ngx_ssl

Синтаксис: "ngx_ssl": true | false

по умолчанию: ложь

Контекст: TWAF_ACCESS_RULE: Правила

Boolean 类型，服务器端 (nginx) 认证开关，可与 client_ssl 组成双向认证

非必填，默认值 Неверно

ngx_ssl_cert

Синтаксис: "ngx_ssl_cert": "path"

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

строка 类型，服务器端 (nginx) 认证所需 pem 证书地址，目前仅支持绝对地址

ngx_ssl_key

Синтаксис: "ngx_ssl_key": "path"

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

строка 类型，服务器端 (nginx) 认证所需 pem 私钥地址，目前仅支持绝对地址

хозяин

Синтаксис: "host": "ip | regex доменного имени"

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

Строка 或数组类型。发布域名。 (从 v1.0.0β 版本开始支持数组)

支持正则表达式 (匹配时，)。

同时支持 IPv4/IPv6。 (从 v1.0.0β 版本开始支持 IPv6)

例如:

    "host": "^1\.1\.1\.1$"
    "host": "test\.com"
    "host": "^.*\.com$"
    "host": "www.baidu.com"
    "host": ["www.baidu.com", "1.1.1.1", "8888::192.168.1.1"]

порт

Синтаксис: «Порт»: номер

По умолчанию: 80 | 443

Контекст: TWAF_ACCESS_RULE: Правила

число 或数组类型，端口号。 (从 v1.0.0β 版本开始支持数组)

非必填，默认值 80 或 443

若 «Хост» 参数为数组时， «Порт» 也应为数组。例如:

    "host": ["www.baidu.com", "1.1.1.1", "8888::192.168.1.1"]
    "posrt": [80, 8088, 8099]

путь

Синтаксис: «Путь»: «Рефекс»

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

Строка 类型，路径支持正则匹配

非必填，默认值 "/"

例如:

    "path": "/"
    "path": "/images"
    "path": "/[a|b]test"

url_case_sensitive

Синтаксис: "url_case_sensitive": "true | false"

по умолчанию: ложь

Контекст: TWAF_ACCESS_RULE: Правила

логический 类型，路径区分大小写 (从 v1.0.0β 版本开始支持此参数)

非必填，默认值 false (不区分大小写)

server_ssl

Синтаксис: "server_ssl": true | false

по умолчанию: ложь

Контекст: TWAF_ACCESS_RULE: Правила

логический 类型， openwaf 向后端服务器连接的 ssl 开关

非必填，默认值 Неверно

例如:

    upstream test {
    	server 1.1.1.1;
    }
    
    http {
    	server {
    	    listen 80;
    	    server_name _;
    	    
    	    location / {
    	        #server_ssl为true，相当于proxy_pass后为https
    	    	proxy_pass https://test;
    	        #server_ssl为false，相当于proxy_pass后为http
    	    	#proxy_pass http://test;
    	    }
    	}
    }

вперед

Синтаксис: "вперед": "upstream_uuiid"

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

Строка 类型，

若不使用 OpenWaf 提供的 $ TWAF_UPSTREAM_SERVER 变量，则 "вперед", "forward_addr", "forward_port" 均非必填 (从 v1.0.0β 版本开始支持非必填)

    #如：使用OpenWAF自带的$twaf_upstream_server变量，forward值为test
    upstream test {
        server 1.1.1.1;
    }
    
    server {
        ...
        location / {
            proxy_pass $twaf_upstream_server;
        }
    }
    
    ---------------------------------
    
    #如：未使用OpenWAF自带的$twaf_upstream_server变量，forward非必填
    server {
        ...
        location / {
            proxy_pass http://1.1.1.1;
        }
    }
    
    ---------------------------------
    
    #如：未使用OpenWAF自带的$twaf_upstream_server变量，forward非必填
    server {
        ...
        location / {
            root html;
            index index.htm;
        }
    }

forward_addr

Синтаксис: "forward_addr": "ip"

по умолчанию: нет

Контекст: TWAF_ACCESS_RULE: Правила

строка 类型， worth_addr 表示后端服务器的 ip 地址 (todo ：支持域名）

    upstream test {
        #如：forward_addr值为1.1.1.1
    	server 1.1.1.1;
    }

forward_port

Синтаксис: "forward_port": порт

По умолчанию: 80 | 443

Контекст: TWAF_ACCESS_RULE: Правила

номер 类型， worth_port 表示后端服务器端口号

非必填，默认值 80 或 443

    upstream test {
    	#如：forward_port值为50001
    	server 1.1.1.1:50001;
    }

uuid

Синтаксис: "uuid": "String"

по умолчанию: случайный (16)

Контекст: TWAF_ACCESS_RULE: Правила

строка 类型，接入规则的唯一标识

非必填，默认 16 位随机字符串 (从 v1.0.0β 版本开始默认 16 位随机字符串)

политика

Синтаксис: «Политика»: «Политика_ууид»

По умолчанию: TWAF_DEFAUTL_CONF

Контекст: TWAF_ACCESS_RULE: Правила

строка 类型，，所使用安全策略的 Uuid

非必填，默认值 twaf_default_conf

Вернуться к TWAF_ACCESS_RULE

Вернемся к TOC

twaf_anti_hotlink

{
    "twaf_anti_hotlink" :{
        "state" : false ,
        "log_state" : true ,
        "event_id" : " 110001 " ,
        "event_severity" : " medium " ,
        "ct_state" : false ,
        "action_meta" : 403 ,
        "action" : " DENY " ,
        "mode" : " referer " ,
        "allow_noreferer" : true ,
        "cookie_name" : " TWAF_AH " ,
        "uri_ext" :[ " javascript " , " css " , " html " , " " ]
    }
}

состояние

Синтаксис: "Состояние": TRUE | FALSE | "$ DYNAMIC_STATE"

по умолчанию: ложь

Контекст: TWAF_ANTI_HOTLINK

当前模块暂未开源

log_state

Синтаксис: "log_state": true | false | "$ dynamic_state"

по умолчанию: True

Контекст: TWAF_ANTI_HOTLINK

CT_STATE

Синтаксис: "ct_state": true | false | "$ dynamic_state"

по умолчанию: ложь

Контекст: TWAF_ANTI_HOTLINK

Event_id

Синтаксис: "Event_id": "String"

по умолчанию: "110001"

Контекст: TWAF_ANTI_HOTLINK

Event_severity

Синтаксис: "Event_severity": "String"

по умолчанию: "Средний"

Контекст: TWAF_ANTI_HOTLINK

действие

Синтаксис: "Действие": "Строка"

по умолчанию: "отрицать"

Контекст: TWAF_ANTI_HOTLINK

action_meta

Синтаксис: "action_meta": "String" | номер

По умолчанию: 403

Контекст: TWAF_ANTI_HOTLINK

режим

Синтаксис: «Режим»: «Строка»

по умолчанию: «Рефера»

Контекст: TWAF_ANTI_HOTLINK

Alling_noreferer

Синтаксис: "Allow_noreferer": true | false

по умолчанию: True

Контекст: TWAF_ANTI_HOTLINK

cookie_name

Синтаксис: "cookie_name": "String"

По умолчанию: TWAF_AH

Контекст: TWAF_ANTI_HOTLINK

cookie_name 表示盗链模块发送 cookie 的名称默认默认 "twaf_ah"

此配置只有 Режим 为 cookie 模式下生效

uri_ext

Синтаксис: "uri_ext": массив | Exten | "All"

по умолчанию: нет

Контекст: TWAF_ANTI_HOTLINK

uri_ext 表示对哪些资源进行盗链防护

     #对html类型资源进行盗链防护
     "uri_ext": "html"
     
     #对未知类型资源进行盗链防护，nginx无法解析出资源类型时为空字符串
     "uri_ext": ""
     
     #对html、css及未知类型资源进行盗链防护
     "uri_ext": ["html", "css", ""]
     
     #对所有资源进行盗链防护
     "uri_ext": "all"

Вернуться к TWAF_ANTI_HOTLINK

Вернемся к TOC

twaf_anti_mal_crawler

{
    "state": false,                                            -- 模块开关，支持 true，false
    "log_state":true,                                          -- 日志开关

    "dict_state": false,                                       -- shared_dict 开关
    "shared_dict_name":"twaf_anti_mal_crawler",                -- shared_dict 名称,若为空，则值为 "twaf_global" 下的 "dict_name"
    "shared_dict_key": "remote_addr",                          -- shared_dict 键值
    "timeout":300,                                             -- shared_dict 保存状态有效时长（单位秒）
    "timer_flush_expired":200,                                 -- shared_dict 清除过期信息的间隔时间（单位秒）,若为空，则值为 "twaf_global" 下的 "timer_flush_expired"

    "cookie_state":true,                                       -- cookie机制开关
    "crawler_cookie_name":"TWAF_crawler",                      -- 爬虫cookie名称
    "mal_cookie_name":"TWAF_mcrawler",                         -- 恶意爬虫cookie名称

    "force_scan_robots_state":true,                            -- 页面注入诱捕路径的开关
    "force_scan_times": 3,                                     -- 注入诱捕路径的页面个数
    "trap_uri":"/abc/abc.html",                                -- 诱捕路径
    "trap_args":"id=1",                                        -- 诱捕参数

    "action":"DENY",                                           -- 执行动作，支持 "ALLOW", "DENY", "REDIRECT", "ROBOT", "RESET_CONNECTION", "PASS" 等
    "action_meta": 403                                         -- 执行动作的附属信息，若 action 为 DENY，action_meta为响应码，若 action 为 REDIRECT，action_meta 为重定向 url
}

состояние

Синтаксис: состояние True | false | $ dynamic_state

по умолчанию: ложь

Контекст: TWAF_ANTI_MAL_CRAWLER

模块开关，默认 Ложь (关闭），支持动态开关支持动态开关

Вернемся к МакД

log_state

Синтаксис: log_state true | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_ANTI_MAL_CRAWLER

安全日志开关，默认 True (记录），支持动态开关

Вернемся к МакД

dict_state

Синтаксис: dict_state true | false

по умолчанию: ложь

Контекст: TWAF_ANTI_MAL_CRAWLER

shared_dict 开关。当 dict_state 为 true ，某 ip 被此模块拦截，会被记录在内存中，在 Тайм -аут 时间内访问会被拦截 (且重置 Тайм -аут)

Вернемся к МакД

shared_dict_name

Синтаксис: shared_dict_name

по умолчанию: ноль

Контекст: TWAF_ANTI_MAL_CRAWLER

shared_dict 名称。对应 nginx 中的配置项，不可轻易修改不可轻易修改不可轻易修改

若为空，则值为 "twaf_global" 下的 "dict_name"

Вернемся к МакД

shared_dict_key

Синтаксис: shared_dict_key |

По умолчанию: remote_addr

Контекст: TWAF_ANTI_MAL_CRAWLER

shared_dict 键值。支持数组

Вернемся к МакД

тайм -аут

Синтаксис: тайм -аут

По умолчанию: 300

Контекст: TWAF_ANTI_MAL_CRAWLER

shared_dict 保存状态有效时长 (单位秒）

Вернемся к МакД

timer_flush_expired

Синтаксис: тайм -аут

По умолчанию: 200

Контекст: TWAF_ANTI_MAL_CRAWLER

shared_dict 清除过期信息的间隔时间（单位秒）若为空则值为则值为 "twaf_global" 下的 "timer_flush_expired"

Вернемся к МакД

cookie_state

Синтаксис: cookie_state true | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_ANTI_MAL_CRAWLER

是否发送 cookie, 默认 true (发送发送），支持动态开关

Вернемся к МакД

CRAWLER_COKIE_NAME

Синтаксис: CRAWLER_COKIE_NAME

по умолчанию: "twaf_crawler"

Контекст: TWAF_ANTI_MAL_CRAWLER

爬虫 Cookie 名称

Вернемся к МакД

mal_cookie_name

Синтаксис: mal_cookie_name

По умолчанию: TWAF_MCRAWLER

Контекст: TWAF_ANTI_MAL_CRAWLER

恶意爬虫 Cookie 名称

Вернемся к МакД

force_scan_robots_state

Синтаксис: force_scan_robots_state true | false

по умолчанию: True

Контекст: TWAF_ANTI_MAL_CRAWLER

页面注入诱捕路径的开关

某些扫描工具不会去访问 /robots.txt ，因此在他访问的页面中插入禁爬目录的暗链

Вернемся к МакД

force_scan_times

Синтаксис: force_scan_times

по умолчанию: 3

Контекст: TWAF_ANTI_MAL_CRAWLER

注入诱捕路径的页面数

Вернемся к МакД

TRAP_URI

Синтаксис: TRAP_URI

по умолчанию: /BC/ABC.HTML

Контекст: TWAF_ANTI_MAL_CRAWLER

诱捕路径，访问此路径被标识为恶意爬虫

Вернемся к МакД

trap_args

Синтаксис: TRAP_ARGS

По умолчанию: id = 1

Контекст: TWAF_ANTI_MAL_CRAWLER

诱捕参数。携带此参数访问诱捕路径，不会标识为攻击

Вернемся к МакД

Вернемся к TWAF_ANTI_MAL_CRAWLER

Вернемся к TOC

TWAF_REQSTAT

    "twaf_reqstat": {
        "state":true,                       -- 统计模块总开关
        "safe_state":true,                  -- 安全信息统计开关
        "access_state":true,                -- 访问信息统计开关
        "upstream_state":true,              -- upstream信息统计开关
        "shared_dict_name":"twaf_reqstat",  -- shm名称
        "shared_dict_key":"policy_id"       -- shm键值。依据此值进行分类统计
    }
    
    PS: 当前统计模块是全局模块，仅支持在twaf_default_conf中进行全局配置，不支持在自定义策略中进行配置

состояние

Синтаксис: состояние True | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_REQSTAT

统计模块开关，支持动态开关默认开启

access_state

Синтаксис: access_state true | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_REQSTAT

访问信息统计开关，支持动态开关默认开启

Safe_state

Синтаксис: safe_state true | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_REQSTAT

安全信息统计开关，支持动态开关默认开启

upstream_state

Синтаксис: upstream_state true | false | $ dynamic_state

по умолчанию: True

Контекст: TWAF_REQSTAT

转发信息统计开关，支持动态开关默认开启

shared_dict_name

Синтаксис: stared_dict_name String

По умолчанию: TWAF_REQSTAT

Контекст: TWAF_REQSTAT

指定 shared_dict 名称在这之前需在 nginx 配置文件中配置 lua_shared_dict

shared_dict_key

Синтаксис: Shared_dict_key String

по умолчанию: политика

Контекст: TWAF_REQSTAT

строка 类型。指定 Shm 键值。依据此值进行分类统计。

：：值设为 PoliceId ， Access 、 Safe 和 вверх по течению 信息。

：：值设为 UserId ，则统计每一个用户相关的 Access 、 Safe 和 вверх по течению 信息。

：：值设为 Access_id ， Access 、 Safe 和 вверх по течению 信息。

Вернуться к TWAF_REQSTAT

Вернемся к TOC

twaf_log

"twaf_log": {
        "access_log_state":true,                         -- 访问日志总开关
        "security_log_state":true,                       -- 安全日志总开关
        "flush_limit":32768,                             -- 缓冲，当存储的日志大于阈值时发送日志
        "size_limit": 200,                               -- 控制日志中每一项的字符上限，如'raw_header'或请求体响应体，可能会使udp日志报错
        "drop_limit":65507,                              -- 缓冲上限，达到此值，丢弃当前日志，发送缓存并清空缓存，当sock_type为udp时，drop_limit值最大为65507（65508会报错message too long）
        "periodic_flush": 2,                             -- flush间隔周期。单位：秒。日志会在达到flush_limit或periodic_flush时输出
        "max_retry_times":5,                             -- 最大容错次数
                                                      -- -- 以下为socket输出日志配置
        "socket_access_log_state": true,                 -- socket模式的访问日志开关
        "socket_security_log_state": true,               -- socket模式的安全日志开关
        "sock_type":"udp",                               -- 支持tcp和udp两种协议
        "content_type":"JSON",                           -- sock支持JSON和INFLUXDB两种日志格式
        "host":"127.0.0.1",                              -- 日志服务器地址
        "port":60055,                                    -- 日志服务器端口号
        "ssl":false,                                     -- 是否开启ssl协议
        "access_log":{},                                 -- 访问日志格式
        "security_log":{},                               -- 安全日志格式
                                                      -- -- 以下为file输出日志配置
        "file_access_log_state": true,                   -- file模式的访问日志开关
        "file_security_log_state": true,                 -- file模式的安全日志开关
        "file_flush": false,                             -- 是否实时写入文件
        "file_content_type": "W3C",                      -- file模式时日志格式，当前仅支持W3C
        "file_access_log_path": "/var/log/openwaf_access.log",      -- file模式的访问日志路径
        "file_security_log_path": "/var/log/openwaf_security.log",  -- file模式的安全日志路径
        "access_log_w3c": "",                            -- file模式访问日志的w3c格式
        "security_log_w3c": ""                           -- file模式安全日志的w3c格式
}

access_log_state

Синтаксис: "access_log_state": true | false

по умолчанию: ложь

Контекст: TWAF_LOG

логический 类型访问日志总开关，默认关闭。

Security_log_state

Синтаксис: "Security_log_state": true | false

по умолчанию: True

Контекст: TWAF_LOG

логический 类型安全事件日志总开关安全事件日志总开关默认开启

flush_limit

Синтаксис: "flush_limit": номер

По умолчанию: 32768

Контекст: TWAF_LOG

номер 类型。缓冲区大小当存储的日志大于阈值才发送当存储的日志大于阈值才发送默认值为 32768

v0.0.6 及之前版本默认值为 0 ，即立刻发送日志，不进行缓存。

v1.0.0β 版本开始默认值为 32768。

日志输出控制条件，还与 Периодическая_flush 参数有关.

size_limit

Синтаксис: "size_limit": номер

По умолчанию: 200

Контекст: TWAF_LOG

Номер 类型。控制日志中每一项的字符上限。单位：字节。

若 'raw_header' 或请求体响应体过长，可能会使 udp 日志报错

drop_limit

Синтаксис: "drop_limit": номер

По умолчанию: 65507

Контекст: TWAF_LOG

Номер 类型。缓冲上限，达到此值丢弃当前日志，发送缓存并清空缓存，当 Sock_type 为 UDP 时， Drop_Limit 值最大为 65507 (65508 会报错 Сообщение слишком долго)

периодический_флюш

Синтаксис: «Периодическая_flush»: номер

по умолчанию: 2

Контекст: TWAF_LOG

номер 类型。日志 промывка 间隔周期。单位：秒。

日志会在满足 flush_limit 或 periodic_flush 条件时输出

max_retry_times

Синтаксис: "max_retry_times": номер

По умолчанию: 5

Контекст: TWAF_LOG

номер 类型。最大容错次数

socket_access_log_state

Синтаксис: "socket_access_log_state": true | false

по умолчанию: True

Контекст: TWAF_LOG

Логический 类型，， сокет 模式的访问日志开关

socket_security_log_state

Синтаксис: "socket_security_log_state": true | false

по умолчанию: True

Контекст: TWAF_LOG

Логический 类型，， сокет 模式的安全日志开关

sock_type

Синтаксис: "sock_type": tcp | udp

по умолчанию: UDP

Контекст: TWAF_LOG

日志传输协议，默认 UDP

content_type

Синтаксис: "content_type": json | plluxdb

По умолчанию: JSON

Контекст: TWAF_LOG

日志格式，默认 json

хозяин

Синтаксис: «Хост»: строка

по умолчанию: "127.0.0.1"

Контекст: TWAF_LOG

日志接收服务器的 IP 地址

порт

Синтаксис: «Порт»: номер

По умолчанию: 60055

Контекст: TWAF_LOG

日志接收服务器的端口号

сбл

Синтаксис: «SSL»: TRUE | FALSE

по умолчанию: ложь

Контекст: TWAF_LOG

是否开启 ssl 协议，默认 ложный

access_log

Синтаксис: "access_log": таблица

по умолчанию: ложь

Контекст: TWAF_LOG

Таблица 类型。访问日志格式。格式详见 Security_log 说明.

Security_log

Синтаксис: "Security_log": таблица

по умолчанию: ложь

Контекст: TWAF_LOG

安全事件日志格式

若 content_type 为 json ，则日志格式为

 [
    variable_key_1, 
    variable_key_2, 
    ...
]

若 content_type 为 upluxdb ，则日志格式为

 {
    "db":MEASUREMENT名称, 
    "tags":[variable_key_1, variable_key_2, ...], 
    "fileds"[variable_key_1, variable_key_2, ...],
    "time":true|false
}

变量名称详见规则引擎模块 TWAF_SECRULES

    #日志格式举例
        #JSON格式
        "security_log": [
            "remote_addr",
            "remote_port",
            "userid",
            "dev_uuid",
            "original_dst_addr",
            "original_dst_port",
            "remote_user",
            "time_local",
            "msec",
            "request_method",
            "request_uri",
            "request_protocol",
            "status",
            "bytes_sent",
            "http_referer",
            "http_user_agent",
            "gzip_ratio",
            "http_host",
            "raw_header",
            "%{request_headers.host}"
        ]

        #INFLUXDB格式
        "security_log": {
            "db":"test",                  -- MEASUREMENT名称
            "tags":[],                    -- tags keys
            "fileds":[                    -- fileds keys
                "remote_addr",
                "remote_port",
                "userid",
                "dev_uuid",
                "original_dst_addr",
                "original_dst_port",
                "remote_user",
                "time_local",
                "msec",
                "request_method",
                "request_uri",
                "request_protocol",
                "status",
                "bytes_sent",
                "http_referer",
                "http_user_agent",
                "gzip_ratio",
                "http_host",
                "raw_header",
                "%{request_headers.host}"
            ],
            "time":true                   -- 日志是否携带时间戳
        }
        
    PS: JSON 和 INFLUXDB 格式的 access_log 和 security_log 支持自定义变量
        如上述举例，为了获取到 request_headers 中的 host 值，因此配置 "%{request_headers.host}"

file_access_log_state

Синтаксис: "file_access_log_state": true | false

по умолчанию: True

Контекст: TWAF_LOG

логический 类型。file 模式的访问日志开关

file_security_log_state

Синтаксис: "file_security_log_state": true | false

по умолчанию: True

Контекст: TWAF_LOG

логический 类型。file 模式的安全日志开关

file_flush

Синтаксис: "file_flush": true | false

по умолчанию: ложь

Контекст: TWAF_LOG

логический 类型。是否实时写入文件

file_content_type

Синтаксис: "file_content_type": w3c

По умолчанию: W3C

Контекст: TWAF_LOG

Строка 类型。file 模式时日志格式，当前仅支持 w3c

file_access_log_path

Синтаксис: "file_access_log_path": path

по умолчанию: "/var/log/openwaf_access.log"

Контекст: TWAF_LOG

строка 类型。file 模式的访问日志路径

file_security_log_path

Синтаксис: "file_security_log_path": path

по умолчанию: "/var/log/openwaf_security.log"

Контекст: TWAF_LOG

строка 类型。file 模式的安全日志路径

access_log_w3c

Синтаксис: "access_log_w3c": String

по умолчанию:详见说明

Контекст: TWAF_LOG

Строка 类型。file 模式访问日志的 W3C 格式

默认值为："%{remote_addr} - %{remote_user} [%{time_local}] "%{request_method} %{request_uri} %{request_protocol}" %{response_status} %{bytes_sent} "%{http_referer}" "%{http_user_agent}" %{userid} %{server_addr}:%{server_port} "%{http_host}" %{request_time} %{policyid} %{unique_id} %{api_id}"

变量名称详见规则引擎模块 TWAF_SECRULES

Security_log_w3c

Синтаксис: "Security_log_w3c": String

по умолчанию:详见说明

Контекст: TWAF_LOG

Строка 类型。file 模式安全日志的 W3C 格式

默认值为："%{remote_addr} - %{remote_user} [%{time_local}] "%{request_method} %{request_uri} %{request_protocol}" %{response_status} %{bytes_sent} "%{http_referer}" "%{http_user_agent}" %{userid} %{server_addr}:%{server_port} "%{http_host}" %{request_time} %{policyid} %{category} %{severity} %{action} %{id} %{rule_name} %{unique_id} %{api_id}"

变量名称详见规则引擎模块 TWAF_SECRULES

Вернуться к TWAF_LOG

Вернемся к TOC

TWAF_SECRULES

    "twaf_secrules":{
        "state": true,                                              -- 总开关
        "reqbody_state": true,                                      -- 请求体检测开关
        "header_filter_state": true,                                -- 响应头检测开关
        "body_filter_state": true,                                  -- 响应体检测开关
        "system_rules_state": true,                                 -- 系统规则集检测开关
        "reqbody_limit":134217728,                                  -- 请求体检测阈值，大于阈值不检测
        "respbody_limit":524288,                                    -- 响应体检测阈值，大于阈值不检测
        "pre_path": "/opt/OpenWAF/",                                -- OpenWAF安装路径
        "path": "lib/twaf/inc/knowledge_db/twrules",                -- 特征规则库在OpenWAF中的路径
        "user_defined_rules":[ ],                                   -- 用户自定义规则，数组
        "rules_id":{                                                -- 特征排除
            "111112": [{"REMOTE_HOST":"a.com", "URI":" ^ /ab"}],      -- 匹配中数组中信息则对应规则失效，数组中key为变量名称，值支持正则
            "111113": {},                                           -- 特征未被排除
            "111114": [{}]                                          -- 特征被无条件排除
        },
        "ruleset_ids": [                                            -- 规则集引用。若 ruleset_ids 值为空，则默认所有的规则都生效(用于兼容无ruleset_ids的旧版本)
            "set_123456789",
            "set_987654321"
        ]
    }

состояние

Синтаксис: состояние True | False

по умолчанию: True

Контекст: TWAF_SECRULES

规则引擎总开关

reqbody_state

Синтаксис: reqbody_state true | false

по умолчанию: True

Контекст: TWAF_SECRULES

请求体检测开关

header_filter_state

Синтаксис: header_filter_state true | false

по умолчанию: True

Контекст: TWAF_SECRULES

响应头检测开关

body_filter_state

Синтаксис: body_filter_state true | false

по умолчанию: ложь

Контекст: TWAF_SECRULES

响应体检测开关，默认关闭若开启需添加第三方模块 [ngx_http_twaf_header_sent_filter_module 暂未开源]

System_rules_state

Синтаксис: System_rules_state true | false

по умолчанию: True

Контекст: TWAF_SECRULES

系统规则集检测开关

lib/twaf/inc/ancomed_db/twrules 目录下的规则，都是系统规则

除了系统规则外，还有 TWAF_SECRULES 模块下 user_defined_rules 的用户自定义规则

系统规则一般很少改动，而用户自定义规则却随着业务而增减如动态配置缓存、压缩、时域控制和黑白名单等。

reqbody_limit

Синтаксис: reqbody_limit номер

По умолчанию: 134217728

Контекст: TWAF_SECRULES

请求体检测大小上限，默认 134217728B (128MB) ，若请求体超过设置上限，则不检测

Ps ： reqbody_limit 值要小于 nginx 中 client_body_buffer_size 的值才会生效

respbody_limit

Синтаксис: номер respbody_limit

По умолчанию: 134217728

Контекст: TWAF_SECRULES

响应体检测大小上限，默认 134217728B (128MB) ，若响应体大小超过设置上限，则不检测

pre_path

Синтаксис: string pre_path

по умолчанию: /opt/openwaf/

Контекст: TWAF_SECRULES

OpenWaf 的安装路径

путь

Синтаксис: строка пути

По умолчанию: lib/twaf/inc/ancomed_db/twrules

Контекст: TWAF_SECRULES

特征规则库在 OpenWaf 中的路径

user_defined_rules

Синтаксис: user_defined_rules

по умолчанию: []

Контекст: TWAF_SECRULES

策略下的用户自定义特征规则

先执行用户自定义规则，再执行系统规则

系统特征规则适用于所有的策略，在引擎启动时通过加载特征库或通过 api 加载系统特征规则，系统特征规则一般不会动态更改

用户自定义特征在策略下生效，一般用于变动较大的特征规则如：时域控制，修改响应头等临时性规则

 "user_defined_rules" :[
    {
        "id" : " 1000001 " ,
        "release_version" : " 858 " ,
        "charactor_version" : " 001 " ,
        "disable" : false ,
        "opts" : {
            "nolog" : false
        },
        "phase" : " access " ,
        "action" : " deny " ,
        "meta" : 403 ,
        "severity" : " high " ,
        "rule_name" : " relative time " ,
        "desc" : "周一至周五的8点至18点，禁止访问/test目录" ,
        "match" : [{
            "vars" : [{
                "var" : " URI "
            }],
            "operator" : " begins_with " ,
            "pattern" : " /test "
        },
        {
            "vars" : [{
                "var" : " TIME_WDAY "
            }],
            "operator" : " equal " ,
            "pattern" : [ " 1 " , " 2 " , " 3 " , " 4 " , " 5 " ]
        },
        {
            "vars" : [{
                "var" : " TIME "
            }],
            "operator" : " str_range " ,
            "pattern" : [ " 08:00:00-18:00:00 " ]
        }]
    },
    {
        "id" : " 1000002 " ,
        "release_version" : " 858 " ,
        "charactor_version" : " 001 " ,
        "disable" : false ,
        "opts" : {
            "nolog" : false
        },
        "phase" : " access " ,
        "action" : " deny " ,
        "meta" : 403 ,
        "severity" : " high " ,
        "rule_name" : " iputil " ,
        "desc" : "某ip段内不许访问" ,
        "match" : [{
            "vars" : [{
               "var" : " REMOTE_ADDR "
            }],
            "operator" : " ip_utils " ,
            "pattern" : [ " 1.1.1.0/24 " , " 2.2.2.2-2.2.20.2 " ]
        }]
    }
]

правила_ид

Синтаксис: таблица Rules_id

по умолчанию: нет

Контекст: TWAF_SECRULES

用于排除特征

Правила

Синтаксис: таблица правил

по умолчанию: нет

Контекст: TWAF_SECRULES

Таблица 类型。规则集引用, 用于不同策略加载不同的规则进行防护。从 v1.0.0β 版本开始引入规则集。

若 Rulesset_ids 值为空，则默认引用所有加载的规则。

若 Rulesset_ids 值为空数组，则无任何规则生效。

    "ruleset_ids": [       -- 有序引用 set_123456789 与 set_987654321 两个规则集。
        "set_123456789",
        "set_987654321"
    ]
    
    PS： 当前规则集有关具体配置仅支持通过rule_set API进行配置

Вернемся к TWAF_SECRULES

Вернемся к TOC

TWAF_ANTI_CC

{
    "twaf_limit_conn": {
        "state":false,                                       -- CC防护模块开关
        "log_state":true,                                    -- CC日志开关
        "trigger_state":true,                                -- 触发开关
        "clean_state":true,                                  -- 清洗开关
        "trigger_thr":{                                      -- 触发阈值（关系为“或”）
            "req_flow_max":1073741824,                       -- 每秒请求流量，单位B
            "req_count_max":10000                            -- 每秒请求数
        },
        "clean_thr":{                                        -- 清洗阈值
            "new_conn_max":40,                               -- 单一源ip每秒新建连接数
            "conn_max":100,                                  -- 单一源ip防护期间内连接总数
            "req_max":50,                                    -- 单一源ip每秒请求总数
            "uri_frequency_max":3000                         -- 单一路径每秒请求总数
        },
        "attacks": 1,                                        -- 在一次CC攻击过程中，某ip触发清洗值的次数大于attacks，则此ip会一直被拦截，直到CC攻击结束
        "timer_flush_expired":10,                            -- 清理shared_dict过期数据的时间间隔
        "interval":10,                                       -- 进入CC防护后发送日志的时间间隔，单位秒
        "shared_dict_name":"twaf_limit_conn",                -- 存放其他信息的shared_dict
        "shared_dict_key": "remote_addr",                    -- shared_dict的键值
        "action":"DENY",                                     -- 触发CC防护执行的动作
        "action_meta":403,
        "timeout":30                                         -- 清洗时长（当再次触发清洗值时，重置）
    }
}

правила

Синтаксис: «Состояние»: Верно | Неверно

по умолчанию: ложь

Контекст: TWAF_LIMIT_CONN

логический 类型， CC 防护模块总开关，默认关闭

log_state

Синтаксис: "log_state": true | false

по умолчанию: True

Контекст: TWAF_LIMIT_CONN

логический 类型， CC 防护模块日志开关，默认开启

trigger_state

Синтаксис: "trigger_state": true | false

по умолчанию: True

Контекст: TWAF_LIMIT_CONN

логический 类型， CC 防护模块的触发开关，默认开启

若关闭，则触发机制关闭时刻进入 CC 清洗状态

clean_state

Синтаксис: "clean_state": true | false

по умолчанию: True

Контекст: TWAF_LIMIT_CONN

логический 类型， CC 防护模块总开关，默认开启

若关闭（仅用于测试）则清洗机制关闭， CC 模块将无法拦截请求

trigger_thr

Синтаксис: "trigger_thr": таблица

по умолчанию: {"req_flow_max": 1073741824, "req_count_max": 10000}

Контекст: TWAF_LIMIT_CONN

Таблица 类型，触发阈值

当达到其中一个触发阈值，进入 CC 清洗状态

当前有两个触发阈值

    "trigger_thr":{                                      -- 触发阈值（关系为“或”）
        "req_flow_max":1073741824,                       -- 每秒请求流量，单位B，默认1GB/s
        "req_count_max":10000                            -- 每秒请求数，默认10000个/秒
    }

clean_thr

Синтаксис: "clean_thr": таблица

по умолчанию: {"new_conn_max": 40, "conn_max": 100, "req_max": 50, "uri_frequency_max": 3000}

Контекст: TWAF_LIMIT_CONN

Таблица 类型，清洗阈值

当进入 CC 清洗状态达到其中一个清洗阈值，则执行相应动作

当前有四个清洗阈值

    "clean_thr":{                                        -- 清洗阈值（关系为“或”）
        "new_conn_max":40,                               -- 单一源ip每秒新建连接数，默认40个/秒
        "conn_max":100,                                  -- 单一源ip防护期间内连接总数，默认100个
        "req_max":50,                                    -- 单一源ip每秒请求总数，默认50个/秒
        "uri_frequency_max":3000                         -- 单一路径每秒请求总数，默认3000个/秒
    }

атаки

Синтаксис: «Атаки»: номер

по умолчанию: 1

Контекст: TWAF_LIMIT_CONN

在一次 CC 攻击过程中某 IP 触发清洗阈值的次数大于 Атаки ，则此 IP 会一直被拦截，直到 CC 攻击结束

此前，在一次 CC 攻击过程中当达到清洗阈值时当达到清洗阈值时才会进行拦截。若未达到清洗阈值才会进行拦截。若未达到清洗阈值即使之前被拦截过，也可正常访问后端服务器

正确设置此参数，可以大大提升 CC 防护性能

若想恢复以前的 CC 防护机制只需 Атаки 设为 0 即可

此参数出现在 OpenWAF-0.0.6 版本， TWAF_ANTI_CC 的 0,0,3 版本

timer_flush_expired

Синтаксис: "timer_flush_expired": номер

по умолчанию: 10

Контекст: TWAF_LIMIT_CONN

номер 类型，清理 shared_dict 过期数据的时间间隔，默认 10 秒

интервал

Синтаксис: «интервал»: номер

по умолчанию: 10

Контекст: TWAF_LIMIT_CONN

номер 类型，进入 CC 防护后发送日志的时间间隔，默认 10 秒

shared_dict_name

Синтаксис: "shared_dict_name": String

по умолчанию: "TWAF_LIMIT_CONN"

Контекст: TWAF_LIMIT_CONN

Строка 类型，存放当前 CC 防护信息的 shared_dict 名称

shared_dict_key

Синтаксис: "shared_dict_key": строка | Таблица

по умолчанию: "remote_addr"

Контекст: TWAF_LIMIT_CONN

Строка 或 таблица 类型， shared_dict 的键值，支持 nginx 变量

支持字符串类型和数组类型

    "shared_dict_key": "remote_addr"
    
    "shared_dict_key": ["remote_addr", "http_user_agent"]

действие

Синтаксис: «Действие»: строка

по умолчанию: "отрицать"

Контекст: TWAF_LIMIT_CONN

строка 类型，触发 CC 防护执行的动作，默认 "Deny"

action_meta

Синтаксис: "action_meta": номер | строка

По умолчанию: 403

Контекст: TWAF_LIMIT_CONN

Строка 或 Номер 类型执行动作的附属信息，默认 403

тайм -аут

Синтаксис: «Тайм -аут»: номер

по умолчанию: 30

Контекст: TWAF_LIMIT_CONN

номер 类型清洗时长清洗时长 n 秒内不再达到触发阈值，则退出 CC 清洗状态

在清洗过程中，再次达到触发阈值则时间重置为 30 秒

Вернемся к TOC

Nginx переменные

$ twaf_https

Синтаксис: установите $ twaf_https 0 | 1

по умолчанию: 0

Контекст: сервер

用于标记请求是否通过 SSL 加密

«Установить $ TWAF_HTTPS 1» ， SSL 加密

«Установить $ TWAF_HTTPS 0» ， SSL 加密

 server {
    listen 443 ssl;
    set $twaf_https 1;
    ...
}

server {
    listen 80;
    set $twaf_https 0;
    ...
}

$ twaf_upstream_server

Синтаксис: установить $ twaf_upstream_server ""

по умолчанию: нет

Контекст: сервер

用于指定后端服务器地址，只需初始化为空字符串即可其值由其值由 "server_ssl" 和 "вперед" 确定

 upstream server_1 {
    ...
}

upstream server_2 {
    ...
}

server {
    ...
    
    set $twaf_upstream_server "";
    location / {
        ...
        proxy_pass $twaf_upstream_server;
    }
}

若"server_ssl"值为true, "forward"值为"server_1"
等价于proxy_pass https://server_1;

若"server_ssl"值为false, "forward"值为"server_2"
等价于proxy_pass http://server_2;

Вернемся к TOC

Секрулы

Переменные

Аргс
Args_combined_size
Args_get
Args_get_names
Args_names
Args_post
Args_post_names
Bytes_in
Connection_requests
ПРОДОЛЖИТЕЛЬНОСТЬ
Файлы
Files_names
Гео
Geo_code3
Geo_code3
Geo_id
Geo_continent
Geo_name
Gzip_ratio
Http_cookie
Http_host
Http_referer
Http_user_agent
Ip_version
Matched_var
Matched_vars
Matched_var_name
Matched_vars_names
Original_DST_ADDR
Original_dst_port
Политика
Query_string
Raw_header
Raw_header_true
Remote_addr
Remote_host
Remote_port
Remote_user
Request_basename
Request_body
Request_cookies
Request_cookies_names
Request_filename
Request_headers
Request_headers_names
Request_line
Request_method
Request_protocol
Http_version
Ури
URL
Request_uri
Response_body
Response_headers
Response_status
СХЕМА
Server_addr
Server_name
Server_port
Сессия
Session_data
ВРЕМЯ
Time_day
Time_epoch
Time_hour
Time_min
Time_mon
Time_sec
Time_wday
Time_year
Time_local
Техас
Уникальный_ид
Upstream_cache_status
ID ПОЛЬЗОВАТЕЛЯ

Вернуться к вар

Вернемся к TOC

Аргс

Таблица 类型所有的请求参数所有的请求参数包含 args_get 和 args_post

例如：POST http://www.baidu.com?name=miracle&age=5

请求体为：time=123456&day=365

ARGS变量值为{"name": "miracle", "age": "5", "time": "123456", "day": "365"}

Вернуться к вар

Вернемся к TOC

Args_combined_size

номер 类型，请求参数总长度只包含 ключа 和 значение 的长度，不包含 '&' 或 '=' 等符号

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_COMBINED_SIZE变量值为15，而不是18

Вернуться к вар

Вернемся к TOC

Args_get

Таблица 类型， Заправка 参数

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_GET变量值为{"name": "miracle", "age": "5"}

Вернуться к вар

Вернемся к TOC

Args_get_names

Таблица 类型， Querystring 参数 Ключ 值

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_GET_NAMES变量值为["name", "age"]

Вернуться к вар

Вернемся к TOC

Args_names

Таблица 类型， QueryString 参数 Ключ 值及 Post 参数 Ключ 值

例如：POST http://www.baidu.com?name=miracle&age=5

请求体为：time=123456&day=365

ARGS_NAMES变量值为["name", "age", "time", "day"]

Вернуться к вар

Вернемся к TOC

Args_post

Таблица 类型， post 参数

例如：

POST http://www.baidu.com/login.html

请求体为：time=123456&day=365

ARGS_POST变量值为{"time": "123456", "day": "365"}

Вернуться к вар

Вернемся к TOC

Args_post_names

Таблица 类型， post 参数 ключа 值

例如：

POST http://www.baidu.com/login.html

请求体为：time=123456&day=365

ARGS_POST_NAMES变量值为["time", "day"]

Вернуться к вар

Вернемся к TOC

Bytes_in

номер 类型，接收信息字节数

Вернуться к вар

Вернемся к TOC

Connection_requests

номер 类型，当前连接中的请求数

Вернуться к вар

Вернемся к TOC

ПРОДОЛЖИТЕЛЬНОСТЬ

строка 类型，处理事务用时时间单位: 微秒 (μs)

Вернуться к вар

Вернемся к TOC

Файлы

Таблица 类型，从请求体中得到的原始文件名 (带有文件后缀名)

Вернуться к вар

Вернемся к TOC

Files_names

Таблица 类型，（（不带有后缀名）

Вернуться к вар

Вернемся к TOC

Гео

Таблица 类型，包含 Code3, код, идентификатор, континент, имя 等字段信息

Вернуться к вар

Вернемся к TOC

Geo_code3

Строка 类型， 3 个字母长度的国家缩写

Вернуться к вар

Вернемся к TOC

Geo_code

Строка 类型， 2 个字母长度的国家缩写

Вернуться к вар

Вернемся к TOC

Geo_id

номер 类型，国家 ID

Вернуться к вар

Вернемся к TOC

Geo_continent

строка 类型，国家所在大洲

Вернуться к вар

Вернемся к TOC

Geo_name

строка 类型，国家全称

Вернуться к вар

Вернемся к TOC

Gzip_ratio

строка 类型，压缩比率

Вернуться к вар

Вернемся к TOC

Http_cookie

Строка 类型，请求头中的 cookie 字段

Вернуться к вар

Вернемся к TOC

Http_host

строка 类型，请求头中的 host 字段值既域名既域名: 端口 (80 缺省)

Вернуться к вар

Вернемся к TOC

Http_referer

Строка 类型，请求头中的 Реферат 字段

Вернуться к вар

Вернемся к TOC

Http_user_agent

строка 类型，请求头中的 пользовательский агент 字段

Вернуться к вар

Вернемся к TOC

Ip_version

строка 类型， IPv4 или IPv6

Вернуться к вар

Вернемся к TOC

Matched_var

类型不定，当前匹配中的变量

Вернуться к вар

Вернемся к TOC

Matched_vars

Таблица 类型，单条规则匹配中的所有变量

Вернуться к вар

Вернемся к TOC

Matched_var_name

строка 类型，当前匹配中的变量名称

Вернуться к вар

Вернемся к TOC

Matched_vars_names

Таблица 类型，单条规则匹配中的所有变量名称

Вернуться к вар

Вернемся к TOC

Original_DST_ADDR

строка 类型，服务器地址应用代理模式为 waf 地址，透明模式为后端服务器地址

Вернуться к вар

Вернемся к TOC

Original_dst_port

строка 类型，服务器端口号应用代理模式为 waf 端口号，透明模式为后端服务器端口号

Вернуться к вар

Вернемся к TOC

Политика

строка 类型，策略 ID

Вернуться к вар

Вернемся к TOC

Query_string

строка 类型，未解码的请求参数

Вернуться к вар

Вернемся к TOC

Raw_header

Строка 类型，请求头信息带请求行

Вернуться к вар

Вернемся к TOC

Raw_header_true

Строка 类型，请求头信息不带请求行

Вернуться к вар

Вернемся к TOC

Remote_addr

строка 类型，客户端地址

Вернуться к вар

Вернемся к TOC

Remote_host

строка 类型，域名

Вернуться к вар

Вернемся к TOC

Remote_port

номер 类型，端口号

Вернуться к вар

Вернемся к TOC

Remote_user

строка 类型，用于身份验证的用户名

Вернуться к вар

Вернемся к TOC

Request_basename

строка 类型，请求的文件名

例如: GET http://www.baidu.com/test/login.php

REQUEST_BASENAME值为/login.php

Вернуться к вар

Вернемся к TOC

Request_body

类型不定，请求体

Вернуться к вар

Вернемся к TOC

Request_cookies

Таблица 类型，请求携带的 cookie

Вернуться к вар

Вернемся к TOC

Request_cookies_names

Таблица 类型，请求携带 cookie 的名称

Вернуться к вар

Вернемся к TOC

Request_filename

строка 类型， Относительный URL -адрес запроса (相对请求路径)

例如: GET http://www.baidu.com/test/login.php

REQUEST_FILENAME值为/test/login.php

Вернуться к вар

Вернемся к TOC

Request_headers

Таблица 类型，请求头信息

Вернуться к вар

Вернемся к TOC

Request_headers_names

Таблица 类型，请求头 ключа 值

Вернуться к вар

Вернемся к TOC

Request_line

строка 类型，请求行

Вернуться к вар

Вернемся к TOC

Request_method

строка 类型，请求方法

Вернуться к вар

Вернемся к TOC

Request_protocol

Строка 类型， http 请求协议如如: http/1.1

Вернуться к вар

Вернемся к TOC

Http_version

номер 类型， http 请求协议版本如如: 1, 1.1, 2

Вернуться к вар

Вернемся к TOC

Ури

строка 类型请求路径，既不带域名，也不带参数

例如: GET http://www.baid.com/test/login.php?name=miracle

URI变量值为/test/login.php

Вернуться к вар

Вернемся к TOC

URL

строка 类型，统一资源定位符， схема 与 http_host 与 uri 的拼接

例如: GET http://www.baid.com/test/login.php?name=miracle

URL变量值为http://www.baid.com/test/login.php

Вернуться к вар

Вернемся к TOC

Request_uri

строка 类型请求路径，带参数，但不带有域名

例如: GET http://www.baid.com/test/login.php?name=miracle

REQUEST_URI变量值为/test/login.php?name=miracle

Вернуться к вар

Вернемся к TOC

Response_body

строка 类型，响应体

Вернуться к вар

Вернемся к TOC

Response_headers

Таблица 类型，响应头信息

Вернуться к вар

Вернемся к TOC

Response_status

функция 类型，响应状态码

Вернуться к вар

Вернемся к TOC

СХЕМА

Строка 类型， http или https

例如：GET http://www.baidu.com/

SCHEME变量值为http

Вернуться к вар

Вернемся к TOC

Server_addr

строка 类型，服务器地址

Вернуться к вар

Вернемся к TOC

Server_name

строка 类型，服务器名称

Вернуться к вар

Вернемся к TOC

Server_port

номер 类型，服务器端口号

Вернуться к вар

Вернемся к TOC

Сессия

Таблица 类型第三方模块第三方模块 lua-resty-session 提供的变量

Вернуться к вар

Вернемся к TOC

Session_data

Таблица 类型， сессия 信息第三方模块 lua-resty-session 提供的变量

Вернуться к вар

Вернемся к TOC

ВРЕМЯ

Строка 类型， час: минута: вторая

Вернуться к вар

Вернемся к TOC

Time_day

номер 类型，天 (1-31)

Вернуться к вар

Вернемся к TOC

Time_epoch

Номер 类型，时间戳， секунд с 1970 года

Вернуться к вар

Вернемся к TOC

Time_hour

номер 类型，小时 (0-23)

Вернуться к вар

Вернемся к TOC

Time_min

номер 类型，分钟 (0-59)

Вернуться к вар

Вернемся к TOC

Time_mon

номер 类型， (1-12)

Вернуться к вар

Вернемся к TOC

Time_sec

номер 类型，秒 (0-59)

Вернуться к вар

Вернемся к TOC

Time_wday

номер 类型，周 (0-6)

Вернуться к вар

Вернемся к TOC

Time_year

Номер 类型年份年份， четырехзначный ，例如: 1997

Вернуться к вар

Вернемся к TOC

Time_local

Строка 类型，当前时间例如: 26/август/2016: 01: 32: 16 -0400

Вернуться к вар

Вернемся к TOC

Техас

Таблица 类型用于存储当前请求信息的变量用于存储当前请求信息的变量作用域仅仅是当前请求

Вернуться к вар

Вернемся к TOC

Уникальный_ид

строка 类型， id 标识，随机生成的字符串，可通过配置来控制随机字符串的长度

从 v1.0.0β 版本开始，默认 34 位自定义随机字符串改为从 ngx.request_id 变量获取的 16/32 位随机字符串

Вернуться к вар

Вернемся к TOC

Upstream_cache_status

сохраняет статус доступа к кэшу ответа (0,8,3). Статус может быть либо «мисс», «обход», «истек», «устаревшим», «обновлением», «переосмыслением» или «ударом».

Вернуться к вар

Вернемся к TOC

ID ПОЛЬЗОВАТЕЛЯ

строка 类型，从接入规则配置得到的用于 ID 标识

Вернуться к вар

Вернемся к TOC

Функции преобразования

base64_decode
SQL_HEX_DECODE
base64_encode
прилавок
compress_whitespace
hex_decode
hex_encode
html_decode
длина
нижний регистр
MD5
normalise_path
удалить_nulls
удалить_whitespace
reply_comments
remove_comments_char
remove_comments
uri_decode
uri_encode
SHA1
trim_left
trim_right
подрезать

Вернуться к TFF

Вернемся к TOC

base64_decode

Декодирует строку, кодированную BASE64.

Примечание: 注意 преобразование 的执行顺序

例如：
{
   "id": "xxxx",
   ...
   "transform": ["base64_decode", "lowercase"],
   ...
}

先执行base64解码，然后字符串最小化，若顺序调换，会影响结果

Вернуться к TFF

Вернемся к TOC

SQL_HEX_DECODE

Decode SQL Hex Data.

Вернуться к TFF

Вернемся к TOC

base64_encode

Кодирует входную строку с использованием кодирования BASE64.

Вернуться к TFF

Вернемся к TOC

прилавок

计数，相当于 Modsecurity 中的 '&' 符号

Вернуться к TFF

Вернемся к TOC

compress_whitespace

Преобразует любой из символов пробела (0x20, f, t, n, r, v, 0xa0) в пространство (ASCII 0x20), сжимая несколько последовательных пространственных символов в один.

Вернуться к TFF

Вернемся к TOC

hex_decode

Декодирует строку, которая была закодирована с использованием того же алгоритма, что и в Hexencode

Вернуться к TFF

Вернемся к TOC

hex_encode

Кодирует строку (возможно, содержит двоичные символы), заменяя каждый входной байт двумя шестнадцатеричными символами.

Вернуться к TFF

Вернемся к TOC

html_decode

Декодирует символы, закодированные как HTML -сущности.

Вернуться к TFF

Вернемся к TOC

длина

Взгляните по длине входной строки в байтах

Вернуться к TFF

Вернемся к TOC

нижний регистр

Преобразует все символы в строгий список

Вернуться к TFF

Вернемся к TOC

MD5

Вычисляет хэш MD5 по данным при входе. Вычисленный хэш находится в необработанной бинарной форме и может потребоваться кодировано в текст, который будет напечатан (или зарегистрирован). Хэш -функции обычно используются в сочетании с hex_encode (например: «Преобразование»: [«MD5», «hex_encode»).

Вернуться к TFF

Вернемся к TOC

normalise_path

Удаляет несколько черноводов, самооценки каталогов и обратные ссылки каталогов (за исключением случаев, когда в начале ввода) из входной строки.

Вернуться к TFF

Вернемся к TOC

удалить_nulls

Удаляет все байты NUL с ввода

Вернуться к TFF

Вернемся к TOC

удалить_whitespace

Удаляет все маточные символы из ввода.

移除空白字符s，包含水平定位字符 ('t')、归位键('r')、换行('n')、垂直定位字符('v')或翻页('f')等

Back to TFF

Back to TOC

replace_comments

用一个空格代替/ ... /注释内容

Back to TFF

Back to TOC

remove_comments_char

Removes common comments chars (/*, */, --, #).

Back to TFF

Back to TOC

remove_comments

去掉/ ... /注释内容

Back to TFF

Back to TOC

uri_decode

Unescape str as an escaped URI component.

例如: 
"b%20r56+7" 使用uri_decode转换后为 b r56 7

Back to TFF

Back to TOC

uri_encode

Escape str as a URI component.

Back to TFF

Back to TOC

sha1

Calculates a SHA1 hash from the input string. The computed hash is in a raw binary form and may need encoded into text to be printed (or logged). Hash functions are commonly used in combination with hex_encode (for example, "transform": ["sha1", "hex_encode"]).

Back to TFF

Back to TOC

trim_left

Removes whitespace from the left side of the input string.

Back to TFF

Back to TOC

trim_right

Removes whitespace from the right side of the input string.

Back to TFF

Back to TOC

подрезать

Removes whitespace from both the left and right sides of the input string.

Back to TFF

Back to TOC

Операторы

begins_with
содержит
contains_word
detect_sqli
detect_xss
ends_with
равный
greater_eq
greater
ip_utils
less_eq
меньше
num_range
regex
str_match
str_range
validate_url_encoding

Back to OPERATORS

Back to TOC

begins_with

Returns true if the parameter string is found at the beginning of the input.

Back to OPERATORS

Back to TOC

содержит

Returns true if the parameter string is found anywhere in the input.

operator 为 contains 且 pattern 为数组，等价于 modsecurity 的 pm

PS: modsecurity的pm忽略大小写，OpenWAF中contains不忽略大小写

例如:
{
    "id": "xxx",
    ...
    "operator": "contains",
    "pattern": ["abc", "def"],
    ...
}

Back to OPERATORS

Back to TOC

contains_word

Returns true if the parameter string (with word boundaries) is found anywhere in the input.

Back to OPERATORS

Back to TOC

detect_sqli

This operator uses LibInjection to detect SQLi attacks.

Back to OPERATORS

Back to TOC

detect_xss

This operator uses LibInjection to detect XSS attacks.

Back to OPERATORS

Back to TOC

ends_with

Returns true if the parameter string is found at the end of the input.

Back to OPERATORS

Back to TOC

равный

Performs a string comparison and returns true if the parameter string is identical to the input string.

等价于 modsecurity 的 eq 和 streq

例如:
{
    "id": "xxx",
    ...
    "operator": "equal",
    "pattern": [12345, "html", "23456"]
    ...
}

Back to OPERATORS

Back to TOC

greater_eq

Performs numerical comparison and returns true if the input value is greater than or equal to the provided parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

greater

Performs numerical comparison and returns true if the input value is greater than the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

ip_utils

Performs a fast ipv4 or ipv6 match of REMOTE_ADDR variable data. Can handle the following formats:

Full IPv4 Address: 192.168.1.100 Network Block/CIDR Address: 192.168.1.0/24 IPv4 Address Region: 1.1.1.1-2.2.2.2

从 v1.0.0β 版本开始支持 IPv6，如8888::192.168.1.1

ip_utils与pf的组合相当于modsecurity中的ipMatchF和ipMatchFromFile

例如:
规则如下：
{
    "id": "xxxx",
    ...
    "operator": "ip_utils",
    "pf": "/tmp/ip_blacklist.txt",
    ...
}
"/tmp/ip_blacklist.txt"文件内容如下：
192.168.1.100
192.168.1.0/24
1.1.1.1-2.2.2.2
8888::192.168.1.1
8888::1:1

Back to OPERATORS

Back to TOC

less_eq

Performs numerical comparison and returns true if the input value is less than or equal to the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

меньше

Performs numerical comparison and returns true if the input value is less than to the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

[Back to TOC](#table-of-contents

num_range

判断是否在数字范围内

它与transform的length组合，相当于modsecurity的validateByteRange

 {
    "id": "xxx",
    ...
    "operator": "num_range",
    "pattern": [10, "13", "32-126"],
    "transform": "length",
    ...
}

Back to OPERATORS

Back to TOC

regex

Performs a regular expression match of the pattern provided as parameter.

regex 等于 rx + capture，即 regex 同时包含 modsecurity 的 rx 功能和 capture 捕获功能

modsecurity有关capture的描述如下： When used together with the regular expression operator (@rx), the capture action will create copies of the regular expression captures and place them into the transaction variable collection.

OpenWAF 中无单独的 capture 指令，但使用 regex 默认开启 capture 功能

例如:
{
    "id": "000031",
    "release_version": "858",
    "charactor_version": "001",
    "opts": {
        "nolog": false
    },
    "phase": "access",
    "action": "deny",
    "meta": 403,
    "severity": "low",
    "rule_name": "protocol.reqHeader.c",
    "desc": "协议规范性约束，检测含有不合规Range或Request-Range值的HTTP请求",
    "match": [
        {
            "vars": [
                {
                    "var": "REQUEST_HEADERS",
                    "parse": {
                        "specific": "Range"
                    }
                },
                {
                    "var": "REQUEST_HEADERS",
                    "parse": {
                        "specific": "Request-Range"
                    }
                }
            ],
            "operator": "regex",
            "pattern": "(\d+)\-(\d+)\,"
        },
        {
            "vars": [{
                "var": "TX",
                "parse": {
                    "specific": "2"
                }
            }],
            "operator": "greater_eq",
            "pattern": "%{TX.1}",
            "parse_pattern": true,
            "op_negated": true
        }
    ]
}

Back to OPERATORS

Back to TOC

str_match

等同于contains

Back to OPERATORS

Back to TOC

str_range

判断是否在字符串范围内

例如时间区间判断:
{
    "id": "xxx",
    ...
    "operator": "str_range",
    "pattern": ["01:42:00-04:32:00"],
    ...
}

Back to OPERATORS

Back to TOC

validate_url_encoding

Validates the URL-encoded characters in the provided input string.

Back to OPERATORS

Back to TOC

Другие

позволять
allow_phase
отрицать
идентификатор
nolog
op_negated
parse
проходить
предупреждать
аудитор
фаза
proxy_cache
пф
pset
redirect
charactor_version
severity
setvar
мета
ngx_var
преобразование
ярлык
release_version
робот
add_resp_headers

Back to OTHERS

Back to TOC

позволять

Stops processing of the current phase but also skipping over all other phases.

 "action": "allow"

一旦执行此动作，则后面的防护规则及其他安全模块均不进行安全检测，此动作一般用于白名单

Back to OTHERS

Back to TOC

allow_phase

Stops processing of the current phase.

 "action": "allow_phase"

Back to OTHERS

Back to TOC

отрицать

Stops rule processing and intercepts transaction.

 "action": "deny",
"meta": 403

Back to OTHERS

Back to TOC

идентификатор

Stops rule processing and intercepts transaction.

 "id": "xxxxxxx"

Back to OTHERS

Back to TOC

nolog

不记录日志

 "opts": {
    "nolog": true
}

Back to OTHERS

Back to TOC

op_negated

对operator结果的取反

 "match": [{
    "vars": [{
        "var": "HTTP_USER_AGENT"
    }],
    "transform": "length",
    "operator": "less_eq",
    "pattern": 50,
    "op_negated": true
}]

等价于

"match": [{
    "vars": [{
        "var": "HTTP_USER_AGENT"
    }],
    "transform": "length",
    "operator": "greater",
    "pattern": 50
}]

若请求头中user_agent字段长度大于50，则匹配中此条规则

Back to OTHERS

Back to TOC

parse

对变量进一步解析

若请求GET http://www.baidu.com?name=miracle&age=5

"match": [{
    "vars": [{
        "var": "ARGS_GET"
    }]，
    ...
}]
得到的值为{"name": "miracle", "age": "5"}


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "specific": "name"
        }
    }]
}]
得到的值为["miracle"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "specific": ["name", "age"]
        }
    }]
}]
得到的值为["miracle", "5"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "ignore": "name"
        }
    }]
}]
得到的值为{"age": "5"}


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "ignore": ["name", "age"]
        }
    }]
}]
得到的值为[]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "keys": true
        }
    }]
}]
得到的值为["name", "age"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "values": true
        }
    }]
}]
得到的值为["miracle", "5"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "all": true
        }
    }]
}]
得到的值为["name", "age", "miracle", "5"]

Back to OTHERS

Back to TOC

проходить

Continues processing with the next rule in spite of a successful match.

 "action": "pass"

Back to OTHERS

Back to TOC

предупреждать

like 'pass'

 "action": "warn"

Back to OTHERS

Back to TOC

аудитор

like 'pass'

 "action": "audit"

Back to OTHERS

Back to TOC

фаза

规则执行的阶段，取值可为"access","header_filter","body_filter"的组合

 {
    "id": "xxx_01",
    "phase": "access",
    ...
}
"xxx_01"规则在access阶段执行

{
    "id": "xxx_02",
    "phase": ["access", "header_filter"],
    ...
}
"xxx_02规则在access阶段和"header_filter"阶段各执行一次

Back to OTHERS

Back to TOC

proxy_cache

 {
    ...
    phase = "header_filter",         -- 缓存开关需在header_filter阶段配置
    action = "pass",                 -- 无需拦截请求
    opts = {
        nolog = true,                -- 不需记录日志
        proxy_cache = {
            state = true|false,      -- 缓存开关
            expired = 600            -- 缓存时长（单位秒）,默认600秒
        }
    }
    ...
}

若state为true，且得到的缓存状态为"MISS"或"EXPIRED"，则对响应内容进行缓存，同时设置缓存时长
若state为false，则清除对应缓存键的缓存（包含其缓存文件）

举例如下：

 # nginx.conf 有关proxy cache 配置如下
http {
    proxy_cache_path  /opt/cache/OpenWAF-proxy levels=2:2 keys_zone=twaf_cache:101m max_size=100m use_temp_path=off;
    proxy_cache_key $host$uri;
    proxy_cache twaf_cache;
    proxy_ignore_headers X-Accel-Expires Cache-Control Set-Cookie;
    proxy_no_cache $twaf_cache_flag;
    
    server {
        set $twaf_cache_flag 1;         #默认不缓存
    }
}

# lua 格式 配置
{ 
    id = "test_x01",                      -- id 全局唯一
    opts = {
        nolog = true,
        proxy_cache = {
            state = true,
            expired = 300
        }
    },
    phase = "header_filter", 
    action = "pass",
    match = {{
        vars = {{
            var = "URI"
        },{
            var = "REQUEST_HEADERS",
            parse = {
                specific = "Referer"
            }
        }},
        operator = "equal",
        pattern = {"/xampp/", "%{SCHEME}://%{HTTP_HOST}/xampp/"},
        parse_pattern = true
    }}
}
此规则将缓存URI为'/xampp/'的页面，更新时间为300秒

若match中过滤条件为响应码，则相当于Nginx的proxy_cache_valid指令
若match中过滤条件为请求方法，则相当于Nginx的proxy_cache_methods指令
若macth中过滤条件为资源类型，则相当于Nginx的proxy_cache_content_type指令

PS: proxy_cache_content_type指令为官方指令，是miracle Qi修改Nginx源码扩展的功能

Back to OTHERS

Back to TOC

пф

pattern是operator操作的参数

pf是指pattern from file，与pattern和pset互斥（三者不可同时出现），目前仅支持绝对路径

pf 与 contains 组合，相当于modsecurity的 pmf 或 pmFromFile

pf 与 ip_utils 组合，相当于modsecurity的 ipMatchF 或 ipMatchFromFile

Back to OTHERS

Back to TOC

pset

集合。pattern、pf 和 pset 互斥(只能同时出现一个)。

暂不支持数组。

使用方法详见 https://github.com/titansec/openwaf_api#pset_post

Back to OTHERS

Back to TOC

redirect

 "action": "redirect",
"meta": "/index.html"

Back to OTHERS

Back to TOC

charactor_version

指定此条规则的版本，同modsecurity中Action的rev功能

 "charactor_version": "001"

Back to OTHERS

Back to TOC

severity

Assigns severity to the rule in which it is used.

The data below is used by the OWASP ModSecurity Core Rule Set (CRS):

EMERGENCY: is generated from correlation of anomaly scoring data where there is an inbound attack and an outbound leakage. ALERT: is generated from correlation where there is an inbound attack and an outbound application level error. CRITICAL: Anomaly Score of 5. Is the highest severity level possible without correlation. It is normally generated by the web attack rules (40 level files). ERROR: Error - Anomaly Score of 4. Is generated mostly from outbound leakage rules (50 level files). WARNING: Anomaly Score of 3. Is generated by malicious client rules (35 level files). NOTICE: Anomaly Score of 2. Is generated by the Protocol policy and anomaly files. INFO DEBUG

也可自定义严重等级，如:low，medium，high，critical等

 "severity": "high"

Back to OTHERS

Back to TOC

setvar

Creates, removes, or updates a variable.

 {
    "id": "xxx_01",
    "opts":{
        "nolog": false,
        "setvar": [{
            "column": "TX",
            "key": "score",
            "value": 5,
            "incr": true
        }]
    },
    ...
}
"xxx_01"规则中，给变量TX中score成员的值加5，若TX中无score成员，则初始化为0，再加5

{
    "id": "xxx_02",
    "opts":{
        "nolog": false,
        "setvar": [{
            "column": "TX",
            "key": "score",
            "value": 5
        }]
    },
    ...
}

"xxx_02"规则中，给变量TX中score成员的值赋为5

Back to OTHERS

Back to TOC

мета

"action"的附属信息

若"action"为"deny"，则"meta"为响应码
"action": "deny",
"meta": 403

若"action"为"redirect"，则"meta"为重定向地址
"action": "redirect",
"meta": "/index.html"

Back to OTHERS

Back to TOC

ngx_var

为 nginx 变量赋值，支持赋值字符串

v1.0.0β版本之后支持赋值变量%{}

如在 nginx.conf 中 set $twaf_test "";

可在 secrules 中基于条件动态赋值
"opts": {
    "ngx_var": {
        "twaf_test": "1.1.1.1"      -- 也可赋值变量，如 "twaf_test": "%{remote_addr}"
    }
}

Back to OTHERS

Back to TOC

преобразование

This action is used to specify the transformation pipeline to use to transform the value of each variable used in the rule before matching.

Back to OTHERS

Back to TOC

ярлык

Assigns a tag (category) to a rule.

支持数组    "tag": ["xxx_1", "xxx_2"]
支持字符串  "tag": "xxx_3"

Back to OTHERS

Back to TOC

release_version

规则集版本，等同于modsecurity中Action的ver功能

 "release_version": "858"

Back to OTHERS

Back to TOC

робот

人机识别

需提前配置人机识别模块配置，此功能暂未放开

 "action": "robot"

Back to OTHERS

Back to TOC

add_resp_headers

增删改响应头

例如隐藏server字段:
"opts": {
    "add_resp_headers": {
        "server": ""
    }
}

Back to OTHERS

Back to TOC

Пожертвование

PayPal

通过 PayPal 来支持 OpenWAF

Алипай

WeChat

Back to TOC

Расширять

OpenWAF

Имя

Оглавление

Версия

Синопсис

Описание

Установка

Сообщество

Английский список рассылки

Китайский список рассылки

Личная QQ Mail

QQ Group

Ошибки и патчи

Тодо

Изменения

Авторские права и лицензия

Директивы на конфигурацию модулей

TWAF_ACCESS_RULE

правила

пользователь

ngx_ssl

ngx_ssl_cert

ngx_ssl_key

хозяин

порт

путь

url_case_sensitive

server_ssl

вперед

forward_addr

forward_port

uuid

политика

twaf_anti_hotlink

состояние

log_state

CT_STATE

Event_id

Event_severity

действие

action_meta

режим

Alling_noreferer

cookie_name

uri_ext

twaf_anti_mal_crawler

состояние

log_state

dict_state

shared_dict_name

shared_dict_key

тайм -аут

timer_flush_expired

cookie_state

CRAWLER_COKIE_NAME

mal_cookie_name

force_scan_robots_state

force_scan_times

TRAP_URI

trap_args

TWAF_REQSTAT

состояние

access_state

Safe_state

upstream_state

shared_dict_name

shared_dict_key

twaf_log

access_log_state

Security_log_state

flush_limit

size_limit

drop_limit

периодический_флюш

max_retry_times

socket_access_log_state

socket_security_log_state

sock_type

content_type

хозяин