OpenWAF下载 - OpenWAF源代码下载

姓名

OpenWAF

第一个全能的开源Web安全保护系统，比其他人更具保护。

版本

该文档描述了OpenWAF v1.1于2021年3月8日发布。

Dockerfile和Docker图像已在2021年3月8日升级为1.1版。

概要

    #nginx.conf
    lua_package_path '/twaf/?.lua;;' ;
    
    init_by_lua_file /twaf/app/twaf_init.lua;
    
    lua_shared_dict twaf_shm 50m ;
    
    upstream test {
        server 0.0.0.1 ; #just an invalid address as a place holder
        balancer_by_lua_file twaf_balancer.lua;
    }
    
    server {
        listen 443 ssl;
        server_name _;
        
        ssl_certificate_by_lua_file  twaf_ssl_cert.lua;
        rewrite_by_lua_file          /twaf/app/twaf_rewrite.lua;
        access_by_lua_file           /twaf/app/twaf_access.lua;
        header_filter_by_lua_file    /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file      /twaf/app/twaf_body_filter.lua
        log_by_lua_file              /twaf/app/twaf_log.lua;
        
        set $twaf_https 1 ;
        set $twaf_upstream_server "" ;
        
        ssl_certificate nginx.crt;
        ssl_certificate_key nginx.key;
        
        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server ;
        }
    }
    
    server {
        listen      80 ;
        server_name  _;
        
        rewrite_by_lua_file       /twaf/app/twaf_rewrite.lua;
        access_by_lua_file        /twaf/app/twaf_access.lua;
        header_filter_by_lua_file /twaf/app/twaf_header_filter.lua;
        body_filter_by_lua_file   /twaf/app/twaf_body_filter.lua
        log_by_lua_file           /twaf/app/twaf_log.lua;
        
        set $twaf_upstream_server "" ;
        
        location / {
            lua_need_request_body on;
            proxy_pass $twaf_upstream_server ;
        }
    }

    #default_config-json

    #main_safe_policy-json

回到TOC

描述

OpenWAF是基于HTTP请求信息的NGINX_LUA API分析，是第一个完全开源的Web应用程序保护系统（WAF）。 OpenWAF由两个功能引擎组成：行为分析引擎和规则引擎。规则引擎主要分析单个请求，行为分析引擎主要负责跟踪请求信息。
受ModSecurity和FreeWaf（Lua-Resty-Waf）启发的规则引擎，将使用LUA实施ModSecurity规则。规则引擎可以基于协议规范，自动工具，注射攻击，交叉站点攻击，信息泄漏和其他安全异常请求，从而增加了对动态规则的支持，及时修复漏洞。
行为分析引擎包括基于频率的模糊识别，反恶意软件爬虫，人类计算机识别抗检测模块，反CSRF，抗CC，抗CC，反右CC，反权利，防止攻击文件上传模块，cookie Tamper验证，防盗链，自定义标头，定制标头和攻击响应响应响应页面证明信息披露的信息披露。
除了这两个引擎外，还包括统计，日志，攻击响应页面，访问规则和其他基本模块。除了现有的功能模块外，OpenWAF还支持配置的动态修改，第三方模块的动态添加，因此发动机不会在中断条件下升级保护条件下重新启动。
OpenWAF支持上述功能，作为具有不同策略保护的不同Web应用程序应用程序的策略。未来将建立一个云平台，该策略也可以为他人共享。

基本模块：

OpenWAF_CONF
OpenWAF_LOG
OpenWAF_REQSTAT
OpenWAF_CORE
OpenWAF_ACCESS_RULE

安全模块：

OpenWAF_RULE_ENGINE
OpenWAF_ATTACK_RESPONSE
OpenWAF_API
OpenWAF_ANTI_MAL_CRAWLER
OpenWAF_ANTI_CC

详细的配置文档和示例，请参阅上述模块文档

回到TOC

安装

请看OpenWAF安装文档

回到TOC

社区

英语邮件列表

OpenWAF-EN邮件列表适用于说英语的人。

中国邮件列表

OpenWAF-CN邮件列表适用于中国扬声器。

个人QQ邮件

[email protected]

QQ组

579790127

回到TOC

错误和补丁

请提交错误报告，愿望清单或补丁

在GitHub Diseard Tracker上创建票，
或发布到OpenWAF社区。

回到TOC

托多

添加access_rule模块动态开关
支持连接SSO
动态令牌
APISG（API安全网关）
嘲笑

回到TOC

更改

ChangElog

回到TOC

版权和许可

该模块已根据BSD许可获得许可。

版权（C）2016-2016，由Jian“ Miracle” Qi（齐健）[email protected]，Titan Co.ltd。

如果满足以下条件：

源代码的再分配必须保留上述版权通知，此条件列表和以下免责声明。
二进制形式的重新分配必须复制上述版权通知，此条件列表以及文档和/或分发提供的其他材料中的以下免责声明。

该软件由版权所有者和贡献者“按原样”提供，任何明示或暗示的保证，包括但不限于对适销性和特定目的适合性的隐含保证。在任何情况下，版权持有人或贡献者均不得对任何直接，间接，偶然，特殊，特殊，示例性或结果损害均承担任何责任（包括但不限于替代商品或服务的采购，损失，数据或利润损失，数据或利润；还是造成的，无论是在合同中造成的，或者在任何责任中造成的责任，或者是否有任何责任，或者在任何责任中，是否有任何责任，或者是否有任何责任，或者是否有责任，是否有责任，是否有责任。告知可能造成这种损害的可能性。

回到TOC

模块配置指令

twaf_access_rule
twaf_anti_hotlink
twaf_anti_mal_crawler
twaf_reqstat
twaf_log
twaf_secrules
twaf_anti_cc

回到TOC

twaf_access_rule

{
    "twaf_access_rule": {
        "rules": [                                 -- 注意先后顺序
            {                                      
                "user": "user_id",                 -- 用户名ID，非必填，默认值"-"
                "ngx_ssl": false,                  -- nginx认证的开关，非必填，默认值false
                "ngx_ssl_cert": "path",            -- nginx认证所需PEM证书地址
                "ngx_ssl_key": "path",             -- nginx认证所需PEM私钥地址
                "host": " ^ 1\.1\.1\.1 $ ",         -- 域名，支持正则匹配，支持字符串或数组，同时支持IPv4/IPv6
                "port": 80,                        -- 端口号。支持number或数组类型，非必填，默认值80或443
                "path": "/",                      -- 路径，支持正则匹配，非必填，默认值"/"
                "url_case_sensitive": false,       -- 路径区分大小写，boolean类型，非必填，默认值 false
                "server_ssl": false,               -- 后端服务器ssl开关，boolean类型，非必填，默认值 false
                "forward": "server_5",             -- 后端服务器upstream名称，string类型
                "forward_addr": "1.1.1.2",         -- 后端服务器ip地址，string类型
                "forward_port": "8080",            -- 后端服务器端口号，非必填，默认值80或443
                "uuid": "access_567b067ff2060",    -- 用来标记此规则的uuid，非必填，默认16位随机字符串
                "policy": "policy_uuid"            -- 安全策略ID，string类型，非必填，默认值twaf_default_conf
            }
        ]
    }
}

规则

语法： “规则”：表

默认值：无

上下文： twaf_access_rule

表类型，接入规则，顺序匹配

用户

语法： “用户”：字符串

默认： -

上下文： twaf_access_rule：规则

字符串类型。用户名id。对应变量％{userId}。

非必填，默认值“ - ”。

ngx_ssl

语法： “ ngx_ssl”：true | false

默认值： false

上下文： twaf_access_rule：规则

布尔值类型，服务器端（nginx）认证开关，client_ssl组成双向认证

非必填，默认值错误

ngx_ssl_cert

语法： “ ngx_ssl_cert”：“路径”

默认值：无

上下文： twaf_access_rule：规则

字符串类型，服务器端（nginx）认证所需pem证书地址，目前仅支持绝对地址，目前仅支持绝对地址

ngx_ssl_key

语法： “ ngx_ssl_key”：“路径”

默认值：无

上下文： twaf_access_rule：规则

字符串类型，服务器端（nginx）认证所需pem私钥地址，目前仅支持绝对地址，目前仅支持绝对地址

主持人

语法： “主机”：“ IP |域名REGEX”

默认值：无

上下文： twaf_access_rule：规则

字符串或数组类型。发布域名。（从v1.0.0β版本开始支持数组）

支持正则表达式（匹配时，自动忽略大小写）。

同时支持IPv4/ipv6。（从v1.0.0β版本开始支持IPv6）

例如：

    "host": "^1\.1\.1\.1$"
    "host": "test\.com"
    "host": "^.*\.com$"
    "host": "www.baidu.com"
    "host": ["www.baidu.com", "1.1.1.1", "8888::192.168.1.1"]

港口

语法： “端口”：编号

默认值： 80 | 443

上下文： twaf_access_rule：规则

数字或数组类型，端口号。（从v1.0.0β版本开始支持数组）

非必填，默认值80或443

若“主机”，“ port”也应为数组。例如：

    "host": ["www.baidu.com", "1.1.1.1", "8888::192.168.1.1"]
    "posrt": [80, 8088, 8099]

小路

语法： “ path”：“ Regex”

默认值：无

上下文： twaf_access_rule：规则

字符串类型，路径，支持正则匹配

非必填，默认值“/”

例如：

    "path": "/"
    "path": "/images"
    "path": "/[a|b]test"

url_case_sentive

语法： “ url_case_sensitive”：“ true | false”

默认值： false

上下文： twaf_access_rule：规则

布尔值类型，路径区分大小写（从v1.0.0β版本开始支持此参数）

非必填，false（不区分大小写）

server_ssl

语法： “ server_ssl”：true | false

默认值： false

上下文： twaf_access_rule：规则

布尔值类型，OpenWAF向后端服务器连接的SSL开关

非必填，默认值错误

例如：

    upstream test {
    	server 1.1.1.1;
    }
    
    http {
    	server {
    	    listen 80;
    	    server_name _;
    	    
    	    location / {
    	        #server_ssl为true，相当于proxy_pass后为https
    	    	proxy_pass https://test;
    	        #server_ssl为false，相当于proxy_pass后为http
    	    	#proxy_pass http://test;
    	    }
    	}
    }

向前

语法： “前向”：“ upstream_uuid”

默认值：无

上下文： twaf_access_rule：规则

字符串类型，向前表示后端服务器的uuid，即上游的名称

若不使用openwaf提供的$ $ twaf_upstream_server变量，“向前”，“ forward_addr”，“ forward_port”均非必填（从v1.0.0.0β版本开始支持非必填）

    #如：使用OpenWAF自带的$twaf_upstream_server变量，forward值为test
    upstream test {
        server 1.1.1.1;
    }
    
    server {
        ...
        location / {
            proxy_pass $twaf_upstream_server;
        }
    }
    
    ---------------------------------
    
    #如：未使用OpenWAF自带的$twaf_upstream_server变量，forward非必填
    server {
        ...
        location / {
            proxy_pass http://1.1.1.1;
        }
    }
    
    ---------------------------------
    
    #如：未使用OpenWAF自带的$twaf_upstream_server变量，forward非必填
    server {
        ...
        location / {
            root html;
            index index.htm;
        }
    }

forward_addr

语法： “ forward_addr”：“ ip”

默认值：无

上下文： twaf_access_rule：规则

字符串类型，forward_addr表示后端服务器的ip 地址（

    upstream test {
        #如：forward_addr值为1.1.1.1
    	server 1.1.1.1;
    }

forward_port

语法： “ forward_port”：端口

默认值： 80 | 443

上下文： twaf_access_rule：规则

数字类型，forward_port表示后端服务器端口号

非必填，默认值80或443

    upstream test {
    	#如：forward_port值为50001
    	server 1.1.1.1:50001;
    }

UUID

语法： “ uuid”：“ string”

默认值：随机（16）

上下文： twaf_access_rule：规则

字符串类型，接入规则的唯一标识

非必填，默认16位随机字符串（从v1.0.0β版本开始默认16位随机字符串）

政策

语法： “策略”：“ policy_uuid”

默认值： twaf_default_conf

上下文： twaf_access_rule：规则

字符串类型，满足此接入规则的请求，所使用安全策略的uuid

非必填，默认值twaf_default_conf

返回twaf_access_rule

回到TOC

twaf_anti_hotlink

{
    "twaf_anti_hotlink" :{
        "state" : false ,
        "log_state" : true ,
        "event_id" : " 110001 " ,
        "event_severity" : " medium " ,
        "ct_state" : false ,
        "action_meta" : 403 ,
        "action" : " DENY " ,
        "mode" : " referer " ,
        "allow_noreferer" : true ,
        "cookie_name" : " TWAF_AH " ,
        "uri_ext" :[ " javascript " , " css " , " html " , " " ]
    }
}

状态

语法： “状态”：true | false |“ $ dynamic_state”

默认值： false

上下文： twaf_anti_hotlink

当前模块暂未开源

log_state

语法： “ log_state”：true | false |“ $ dynamic_state”

默认值： true

上下文： twaf_anti_hotlink

CT_STATE

语法： “ ct_state”：true | false |“ $ dynamic_state”

默认值： false

上下文： twaf_anti_hotlink

event_id

语法： “ event_id”：“ string”

默认值： “ 110001”

上下文： twaf_anti_hotlink

event_severity

语法： “ event_severity”：“字符串”

默认： “媒介”

上下文： twaf_anti_hotlink

行动

语法： “ action”：“ string”

默认： “否认”

上下文： twaf_anti_hotlink

Action_Meta

语法： “ action_meta”：“ string” |编号

默认值： 403

上下文： twaf_anti_hotlink

模式

语法： “模式”：“字符串”

默认值： “推荐人”

上下文： twaf_anti_hotlink

laster_noreferer

语法： “ allow_noreferer”：true | false

默认值： true

上下文： twaf_anti_hotlink

cookie_name

语法： “ cookie_name”：“ string”

默认值： twaf_ah

上下文： twaf_anti_hotlink

cookie_name表示盗链模块发送cookie的名称，默认“ twaf_ah”

此配置只有模式为cookie模式下生效

uri_ext

语法： “ uri_ext”：数组| Exten |“ all”

默认值：无

上下文： twaf_anti_hotlink

uri_ext表示对哪些资源进行盗链防护

     #对html类型资源进行盗链防护
     "uri_ext": "html"
     
     #对未知类型资源进行盗链防护，nginx无法解析出资源类型时为空字符串
     "uri_ext": ""
     
     #对html、css及未知类型资源进行盗链防护
     "uri_ext": ["html", "css", ""]
     
     #对所有资源进行盗链防护
     "uri_ext": "all"

返回twaf_anti_hotlink

回到TOC

twaf_anti_mal_crawler

{
    "state": false,                                            -- 模块开关，支持 true，false
    "log_state":true,                                          -- 日志开关

    "dict_state": false,                                       -- shared_dict 开关
    "shared_dict_name":"twaf_anti_mal_crawler",                -- shared_dict 名称,若为空，则值为 "twaf_global" 下的 "dict_name"
    "shared_dict_key": "remote_addr",                          -- shared_dict 键值
    "timeout":300,                                             -- shared_dict 保存状态有效时长（单位秒）
    "timer_flush_expired":200,                                 -- shared_dict 清除过期信息的间隔时间（单位秒）,若为空，则值为 "twaf_global" 下的 "timer_flush_expired"

    "cookie_state":true,                                       -- cookie机制开关
    "crawler_cookie_name":"TWAF_crawler",                      -- 爬虫cookie名称
    "mal_cookie_name":"TWAF_mcrawler",                         -- 恶意爬虫cookie名称

    "force_scan_robots_state":true,                            -- 页面注入诱捕路径的开关
    "force_scan_times": 3,                                     -- 注入诱捕路径的页面个数
    "trap_uri":"/abc/abc.html",                                -- 诱捕路径
    "trap_args":"id=1",                                        -- 诱捕参数

    "action":"DENY",                                           -- 执行动作，支持 "ALLOW", "DENY", "REDIRECT", "ROBOT", "RESET_CONNECTION", "PASS" 等
    "action_meta": 403                                         -- 执行动作的附属信息，若 action 为 DENY，action_meta为响应码，若 action 为 REDIRECT，action_meta 为重定向 url
}

状态

语法：状态true | false | $ dynamic_state

默认值： false

上下文： twaf_anti_mal_crawler

模块开关，false（false），支持动态开关

回到MCD

log_state

语法： log_state true | false | $ dynamic_state

默认值： true

上下文： twaf_anti_mal_crawler

安全日志开关，true （记录），支持动态开关

回到MCD

dict_state

语法： dict_state true | false

默认值： false

上下文： twaf_anti_mal_crawler

shared_dict开关。当dict_state为

回到MCD

shared_dict_name

语法： shared_dict_name

默认值： nil

上下文： twaf_anti_mal_crawler

shared_dict名称。对应nginx中的配置项，不可轻易修改

若为空，则值为“ twaf_global”下的“ dict_name”

回到MCD

shared_dict_key

语法： shared_dict_key |

默认值：远程_ADDR

上下文： twaf_anti_mal_crawler

shared_dict键值。支持数组

回到MCD

暂停

语法：超时

默认值： 300

上下文： twaf_anti_mal_crawler

shared_dict 保存状态有效时长（单位秒）

回到MCD

timer_flush_expired

语法：超时

默认值： 200

上下文： twaf_anti_mal_crawler

shared_dict 清除过期信息的间隔时间（单位秒），若为空，则值为“ twaf_global” timer_flush_expired”

回到MCD

cookie_state

语法： cookie_state true | false | $ dynamic_state

默认值： true

上下文： twaf_anti_mal_crawler

是否发送cookie，默认（true）（true），支持动态开关

回到MCD

crawler_cookie_name

语法： crawler_cookie_name

默认： “ twaf_crawler”

上下文： twaf_anti_mal_crawler

爬虫饼干名称

回到MCD

mal_cookie_name

语法： mal_cookie_name

默认值： twaf_mcrawler

上下文： twaf_anti_mal_crawler

恶意爬虫饼干名称

回到MCD

force_scan_robots_state

语法： force_scan_robots_state true | false

默认值： true

上下文： twaf_anti_mal_crawler

页面注入诱捕路径的开关

某些扫描工具不会去访问 /robots.txt，因此在他访问的页面中插入禁爬目录的暗链

回到MCD

force_scan_times

语法： force_scan_times

默认值： 3

上下文： twaf_anti_mal_crawler

注入诱捕路径的页面数

回到MCD

trap_uri

语法： trap_uri

默认值： /abc/abc.html

上下文： twaf_anti_mal_crawler

诱捕路径，访问此路径，被标识为恶意爬虫

回到MCD

陷阱_args

语法： trap_args

默认值： ID = 1

上下文： twaf_anti_mal_crawler

诱捕参数。携带此参数访问诱捕路径，不会标识为攻击

回到MCD

返回twaf_anti_mal_crawler

回到TOC

twaf_reqstat

    "twaf_reqstat": {
        "state":true,                       -- 统计模块总开关
        "safe_state":true,                  -- 安全信息统计开关
        "access_state":true,                -- 访问信息统计开关
        "upstream_state":true,              -- upstream信息统计开关
        "shared_dict_name":"twaf_reqstat",  -- shm名称
        "shared_dict_key":"policy_id"       -- shm键值。依据此值进行分类统计
    }
    
    PS: 当前统计模块是全局模块，仅支持在twaf_default_conf中进行全局配置，不支持在自定义策略中进行配置

状态

语法：状态true | false | $ dynamic_state

默认值： true

上下文： twaf_reqstat

统计模块开关，支持动态开关，默认开启

Access_State

语法： access_state true | false | $ dynamic_state

默认值： true

上下文： twaf_reqstat

访问信息统计开关，支持动态开关，默认开启

SAFE_STATE

语法： safe_state true | false | $ dynamic_state

默认值： true

上下文： twaf_reqstat

安全信息统计开关，支持动态开关，默认开启

upstream_state

语法： upstream_state true | false | $ dynamic_state

默认值： true

上下文： twaf_reqstat

转发信息统计开关，支持动态开关，默认开启

shared_dict_name

语法： shared_dict_name字符串

默认值： twaf_reqstat

上下文： twaf_reqstat

指定共享_dict名称，在这之前需在nginx配置文件中配置lua_shared_dict

shared_dict_key

语法： shared_dict_key String

默认值： policyID

上下文： twaf_reqstat

字符串类型。指定shm键值。依据此值进行分类统计。

如：值设为策略ID，则统计每一个策略相关的访问，安全和上游信息。

如：值设为用户ID，则统计每一个用户相关的访问，安全和上游信息。

如：值设为access_id，则统计每一个接入规则相关的访问，安全和上游信息。

返回twaf_reqstat

回到TOC

twaf_log

"twaf_log": {
        "access_log_state":true,                         -- 访问日志总开关
        "security_log_state":true,                       -- 安全日志总开关
        "flush_limit":32768,                             -- 缓冲，当存储的日志大于阈值时发送日志
        "size_limit": 200,                               -- 控制日志中每一项的字符上限，如'raw_header'或请求体响应体，可能会使udp日志报错
        "drop_limit":65507,                              -- 缓冲上限，达到此值，丢弃当前日志，发送缓存并清空缓存，当sock_type为udp时，drop_limit值最大为65507（65508会报错message too long）
        "periodic_flush": 2,                             -- flush间隔周期。单位：秒。日志会在达到flush_limit或periodic_flush时输出
        "max_retry_times":5,                             -- 最大容错次数
                                                      -- -- 以下为socket输出日志配置
        "socket_access_log_state": true,                 -- socket模式的访问日志开关
        "socket_security_log_state": true,               -- socket模式的安全日志开关
        "sock_type":"udp",                               -- 支持tcp和udp两种协议
        "content_type":"JSON",                           -- sock支持JSON和INFLUXDB两种日志格式
        "host":"127.0.0.1",                              -- 日志服务器地址
        "port":60055,                                    -- 日志服务器端口号
        "ssl":false,                                     -- 是否开启ssl协议
        "access_log":{},                                 -- 访问日志格式
        "security_log":{},                               -- 安全日志格式
                                                      -- -- 以下为file输出日志配置
        "file_access_log_state": true,                   -- file模式的访问日志开关
        "file_security_log_state": true,                 -- file模式的安全日志开关
        "file_flush": false,                             -- 是否实时写入文件
        "file_content_type": "W3C",                      -- file模式时日志格式，当前仅支持W3C
        "file_access_log_path": "/var/log/openwaf_access.log",      -- file模式的访问日志路径
        "file_security_log_path": "/var/log/openwaf_security.log",  -- file模式的安全日志路径
        "access_log_w3c": "",                            -- file模式访问日志的w3c格式
        "security_log_w3c": ""                           -- file模式安全日志的w3c格式
}

access_log_state

语法： “ access_log_state”：true | false

默认值： false

上下文： twaf_log

布尔值类型，访问日志总开关，默认关闭。，默认关闭。

Security_log_state

语法： “ security_log_state”：true | false

默认值： true

上下文： twaf_log

布尔值类型，安全事件日志总开关，默认开启

flush_limit

语法： “ flush_limit”：编号

默认值： 32768

上下文： twaf_log

数字类型。缓冲区大小，当存储的日志大于阈值才发送，默认值为32768

v0.0.6及之前版本默认值为0，即立刻发送日志，不进行缓存。，不进行缓存。

v1.0.0β版本开始，默认值为32768。

日志输出控制条件，还与QUACTIC_FLUSH参数有关。

size_limit

语法： “ size_limit”：编号

默认值： 200

上下文： twaf_log

数字：字节。

若'raw_header'或请求体响应体过长，可能会使udp日志报错

drop_limit

语法： “ drop_limit”：编号

默认值： 65507

上下文： twaf_log

编号类型。缓冲上限，达到此值，丢弃当前日志，发送缓存并清空缓存，sock_type为udp时

周期性_flush

语法： “ ecientiC_flush”：编号

默认值： 2

上下文： twaf_log

数字类型。日志齐平间隔周期。单位：秒。：秒。

日志会在满足flush_limit或Quentic_flush条件时输出

max_retry_times

语法： “ max_retry_times”：编号

默认值： 5

上下文： twaf_log

数字类型。最大容错次数

socket_access_log_state

语法： “ socket_access_log_state”：true | false

默认值： true

上下文： twaf_log

布尔值类型，插座模式的访问日志开关

socket_security_log_state

语法： “ socket_security_log_state”：true | false

默认值： true

上下文： twaf_log

布尔值类型，插座模式的安全日志开关

sock_type

语法： “ sock_type”：tcp | udp

默认值： UDP

上下文： twaf_log

日志传输协议，UDP

content_type

语法： “ content_type”：json | influxdb

默认值： JSON

上下文： twaf_log

日志格式，默认json

主持人

语法： “主机”：字符串

默认值： “ 127.0.0.1”

上下文： twaf_log

日志接收服务器的IP地址

港口

语法： “端口”：编号

默认值： 60055

上下文： twaf_log

日志接收服务器的端口号

SSL

语法： “ ssl”：true | false

默认值： false

上下文： twaf_log

是否开启ssl协议，默认false

Access_log

语法： “ access_log”：表

默认值： false

上下文： twaf_log

表类型。访问日志格式。格式详见security_log说明。

Security_log

语法： “ security_log”：table

默认值： false

上下文： twaf_log

安全事件日志格式

若content_type为json，则日志格式为

 [
    variable_key_1, 
    variable_key_2, 
    ...
]

若content_type为infuxdb，则日志格式为

 {
    "db":MEASUREMENT名称, 
    "tags":[variable_key_1, variable_key_2, ...], 
    "fileds"[variable_key_1, variable_key_2, ...],
    "time":true|false
}

变量名称详见规则引擎模块twaf_secrules

    #日志格式举例
        #JSON格式
        "security_log": [
            "remote_addr",
            "remote_port",
            "userid",
            "dev_uuid",
            "original_dst_addr",
            "original_dst_port",
            "remote_user",
            "time_local",
            "msec",
            "request_method",
            "request_uri",
            "request_protocol",
            "status",
            "bytes_sent",
            "http_referer",
            "http_user_agent",
            "gzip_ratio",
            "http_host",
            "raw_header",
            "%{request_headers.host}"
        ]

        #INFLUXDB格式
        "security_log": {
            "db":"test",                  -- MEASUREMENT名称
            "tags":[],                    -- tags keys
            "fileds":[                    -- fileds keys
                "remote_addr",
                "remote_port",
                "userid",
                "dev_uuid",
                "original_dst_addr",
                "original_dst_port",
                "remote_user",
                "time_local",
                "msec",
                "request_method",
                "request_uri",
                "request_protocol",
                "status",
                "bytes_sent",
                "http_referer",
                "http_user_agent",
                "gzip_ratio",
                "http_host",
                "raw_header",
                "%{request_headers.host}"
            ],
            "time":true                   -- 日志是否携带时间戳
        }
        
    PS: JSON 和 INFLUXDB 格式的 access_log 和 security_log 支持自定义变量
        如上述举例，为了获取到 request_headers 中的 host 值，因此配置 "%{request_headers.host}"

file_access_log_state

语法： “ file_access_log_state”：true | false

默认值： true

上下文： twaf_log

布尔类型。file

file_security_log_state

语法： “ file_security_log_state”：true | false

默认值： true

上下文： twaf_log

布尔类型。file

file_flush

语法： “ file_flush”：true | false

默认值： false

上下文： twaf_log

布尔类型。是否实时写入文件

file_content_type

语法： “ file_content_type”：w3c

默认值： W3C

上下文： twaf_log

字符串类型。file模式时日志格式，当前仅支持w3c

file_access_log_path

语法： “ file_access_log_path”：路径

默认值： “/var/log/openwaf_access.log”

上下文： twaf_log

字符串类型。file模式的访问日志路径

file_security_log_path

语法： “ file_security_log_path”：路径

默认值： “/var/log/openwaf_security.log”

上下文： twaf_log

字符串类型。file模式的安全日志路径

access_log_w3c

语法： “ access_log_w3c”：字符串

默认值：详见说明

上下文： twaf_log

字符串类型。file模式访问日志的w3c格式

默认值为："%{remote_addr} - %{remote_user} [%{time_local}] "%{request_method} %{request_uri} %{request_protocol}" %{response_status} %{bytes_sent} "%{http_referer}" "%{http_user_agent}" %{userid} %{server_addr}:%{server_port} "%{http_host}" %{request_time} %{policyid} %{unique_id} %{api_id}"

变量名称详见规则引擎模块twaf_secrules

security_log_w3c

语法： “ security_log_w3c”：字符串

默认值：详见说明

上下文： twaf_log

字符串类型。file模式安全日志的w3c格式

默认值为："%{remote_addr} - %{remote_user} [%{time_local}] "%{request_method} %{request_uri} %{request_protocol}" %{response_status} %{bytes_sent} "%{http_referer}" "%{http_user_agent}" %{userid} %{server_addr}:%{server_port} "%{http_host}" %{request_time} %{policyid} %{category} %{severity} %{action} %{id} %{rule_name} %{unique_id} %{api_id}"

变量名称详见规则引擎模块twaf_secrules

返回twaf_log

回到TOC

twaf_secrules

    "twaf_secrules":{
        "state": true,                                              -- 总开关
        "reqbody_state": true,                                      -- 请求体检测开关
        "header_filter_state": true,                                -- 响应头检测开关
        "body_filter_state": true,                                  -- 响应体检测开关
        "system_rules_state": true,                                 -- 系统规则集检测开关
        "reqbody_limit":134217728,                                  -- 请求体检测阈值，大于阈值不检测
        "respbody_limit":524288,                                    -- 响应体检测阈值，大于阈值不检测
        "pre_path": "/opt/OpenWAF/",                                -- OpenWAF安装路径
        "path": "lib/twaf/inc/knowledge_db/twrules",                -- 特征规则库在OpenWAF中的路径
        "user_defined_rules":[ ],                                   -- 用户自定义规则，数组
        "rules_id":{                                                -- 特征排除
            "111112": [{"REMOTE_HOST":"a.com", "URI":" ^ /ab"}],      -- 匹配中数组中信息则对应规则失效，数组中key为变量名称，值支持正则
            "111113": {},                                           -- 特征未被排除
            "111114": [{}]                                          -- 特征被无条件排除
        },
        "ruleset_ids": [                                            -- 规则集引用。若 ruleset_ids 值为空，则默认所有的规则都生效(用于兼容无ruleset_ids的旧版本)
            "set_123456789",
            "set_987654321"
        ]
    }

状态

语法：状态true | false

默认值： true

上下文： twaf_secrules

规则引擎总开关

reqbody_state

语法： reqbody_state true | false

默认值： true

上下文： twaf_secrules

请求体检测开关

header_filter_state

语法： header_filter_state true | false

默认值： true

上下文： twaf_secrules

响应头检测开关

body_filter_state

语法： body_filter_state true | false

默认值： false

上下文： twaf_secrules

响应体检测开关，默认关闭，若开启需添加第三方模块[ngx_http_twaf_header_sent_filter_module暂未开源]

system_rules_state

语法： system_rules_state true | false

默认值： true

上下文： twaf_secrules

系统规则集检测开关

lib/twaf/inc/knowlace_db/twrules目录下的规则，都是系统规则

除了系统规则外，还有twaf_secrules模块下user_defined_rules的用户自定义规则

系统规则一般很少改动，而用户自定义规则却随着业务而增减，如动态配置缓存、压缩、时域控制和黑白名单等。，如动态配置缓存、压缩、时域控制和黑白名单等。

reqbody_limit

语法： reqbody_limit号码

默认值： 134217728

上下文： twaf_secrules

请求体检测大小上限，默认，默认134217728b（128mb），若请求体超过设置上限，则不检测

PS：reqbody_limit值要小于nginx中client_body_buffer_size的值才会生效

Respbody_limit

语法： RespBody_limit号码

默认值： 134217728

上下文： twaf_secrules

响应体检测大小上限，默认，默认134217728b（128mb），若响应体大小超过设置上限，则不检测

pre_path

语法： pre_path字符串

默认值： /opt/openWAF/

上下文： twaf_secrules

OpenWAF的安装路径

小路

语法：路径字符串

默认值： lib/twaf/inc/knowlace_db/twrules

上下文： twaf_secrules

特征规则库在OpenWAF中的路径

user_defined_rules

语法： user_defined_rules

默认： []

上下文： twaf_secrules

策略下的用户自定义特征规则

先执行用户自定义规则，再执行系统规则

系统特征规则适用于所有的策略，在引擎启动时通过加载特征库或通过api加载系统特征规则，系统特征规则一般不会动态更改

用户自定义特征在策略下生效，一般用于变动较大的特征规则，如：时域控制，修改响应头等临时性规则

 "user_defined_rules" :[
    {
        "id" : " 1000001 " ,
        "release_version" : " 858 " ,
        "charactor_version" : " 001 " ,
        "disable" : false ,
        "opts" : {
            "nolog" : false
        },
        "phase" : " access " ,
        "action" : " deny " ,
        "meta" : 403 ,
        "severity" : " high " ,
        "rule_name" : " relative time " ,
        "desc" : "周一至周五的8点至18点，禁止访问/test目录" ,
        "match" : [{
            "vars" : [{
                "var" : " URI "
            }],
            "operator" : " begins_with " ,
            "pattern" : " /test "
        },
        {
            "vars" : [{
                "var" : " TIME_WDAY "
            }],
            "operator" : " equal " ,
            "pattern" : [ " 1 " , " 2 " , " 3 " , " 4 " , " 5 " ]
        },
        {
            "vars" : [{
                "var" : " TIME "
            }],
            "operator" : " str_range " ,
            "pattern" : [ " 08:00:00-18:00:00 " ]
        }]
    },
    {
        "id" : " 1000002 " ,
        "release_version" : " 858 " ,
        "charactor_version" : " 001 " ,
        "disable" : false ,
        "opts" : {
            "nolog" : false
        },
        "phase" : " access " ,
        "action" : " deny " ,
        "meta" : 403 ,
        "severity" : " high " ,
        "rule_name" : " iputil " ,
        "desc" : "某ip段内不许访问" ,
        "match" : [{
            "vars" : [{
               "var" : " REMOTE_ADDR "
            }],
            "operator" : " ip_utils " ,
            "pattern" : [ " 1.1.1.0/24 " , " 2.2.2.2-2.2.20.2 " ]
        }]
    }
]

Rules_id

语法： Rules_id表

默认值：无

上下文： twaf_secrules

用于排除特征

Ruleset_ids

语法： Ruleset_ids表

默认值：无

上下文： twaf_secrules

表类型。规则集引用，用于不同策略加载不同的规则进行防护。从v1.0.0β版本开始引入规则集。

若uludet_ids值为空，则默认引用所有加载的规则。，则默认引用所有加载的规则。

若uludet_ids值为空数组，则无任何规则生效。，则无任何规则生效。

    "ruleset_ids": [       -- 有序引用 set_123456789 与 set_987654321 两个规则集。
        "set_123456789",
        "set_987654321"
    ]
    
    PS： 当前规则集有关具体配置仅支持通过rule_set API进行配置

返回到twaf_secrules

回到TOC

twaf_anti_cc

{
    "twaf_limit_conn": {
        "state":false,                                       -- CC防护模块开关
        "log_state":true,                                    -- CC日志开关
        "trigger_state":true,                                -- 触发开关
        "clean_state":true,                                  -- 清洗开关
        "trigger_thr":{                                      -- 触发阈值（关系为“或”）
            "req_flow_max":1073741824,                       -- 每秒请求流量，单位B
            "req_count_max":10000                            -- 每秒请求数
        },
        "clean_thr":{                                        -- 清洗阈值
            "new_conn_max":40,                               -- 单一源ip每秒新建连接数
            "conn_max":100,                                  -- 单一源ip防护期间内连接总数
            "req_max":50,                                    -- 单一源ip每秒请求总数
            "uri_frequency_max":3000                         -- 单一路径每秒请求总数
        },
        "attacks": 1,                                        -- 在一次CC攻击过程中，某ip触发清洗值的次数大于attacks，则此ip会一直被拦截，直到CC攻击结束
        "timer_flush_expired":10,                            -- 清理shared_dict过期数据的时间间隔
        "interval":10,                                       -- 进入CC防护后发送日志的时间间隔，单位秒
        "shared_dict_name":"twaf_limit_conn",                -- 存放其他信息的shared_dict
        "shared_dict_key": "remote_addr",                    -- shared_dict的键值
        "action":"DENY",                                     -- 触发CC防护执行的动作
        "action_meta":403,
        "timeout":30                                         -- 清洗时长（当再次触发清洗值时，重置）
    }
}

规则

语法： “状态”：true | false

默认值： false

上下文： twaf_limit_conn

布尔值类型，cc防护模块总开关，默认关闭

log_state

语法： “ log_state”：true | false

默认值： true

上下文： twaf_limit_conn

布尔值类型，cc防护模块日志开关，默认开启

trigger_state

语法： “ trigger_state”：true | false

默认值： true

上下文： twaf_limit_conn

布尔值类型，cc防护模块的触发开关，默认开启

若关闭，则触发机制关闭，时刻进入cc清洗状态

clean_state

语法： “ clean_state”：true | false

默认值： true

上下文： twaf_limit_conn

布尔值类型，cc防护模块总开关，默认开启

（），则清洗机制关闭，CC模块将无法拦截请求

trigger_thr

语法： “ trigger_thr”：表

默认值： {“ req_flow_max”：1073741824，“ req_count_max”：10000}

上下文： twaf_limit_conn

表类型，触发阈值

当达到其中一个触发阈值，进入cc清洗状态

当前有两个触发阈值

    "trigger_thr":{                                      -- 触发阈值（关系为“或”）
        "req_flow_max":1073741824,                       -- 每秒请求流量，单位B，默认1GB/s
        "req_count_max":10000                            -- 每秒请求数，默认10000个/秒
    }

clean_thr

语法： “ clean_thr”：表

默认值： {“ new_conn_max”：40，“ conn_max”：100，“ req_max”：50，“ uri_frequency_max”：3000}

上下文： twaf_limit_conn

表类型，清洗阈值

当进入cc清洗状态，达到其中一个清洗阈值，则执行相应动作

当前有四个清洗阈值

    "clean_thr":{                                        -- 清洗阈值（关系为“或”）
        "new_conn_max":40,                               -- 单一源ip每秒新建连接数，默认40个/秒
        "conn_max":100,                                  -- 单一源ip防护期间内连接总数，默认100个
        "req_max":50,                                    -- 单一源ip每秒请求总数，默认50个/秒
        "uri_frequency_max":3000                         -- 单一路径每秒请求总数，默认3000个/秒
    }

攻击

语法： “攻击”：数字

默认值： 1

上下文： twaf_limit_conn

在一次cc攻击过程中，某ip触发清洗阈值的次数大于攻击，则此ip会一直被拦截，直到cc攻击结束

此前，cc攻击过程中，当达到清洗阈值时，才会进行拦截。若未达到清洗阈值，即使之前被拦截过，也可正常访问后端服务器，也可正常访问后端服务器

正确设置此参数，可以大大提升cc防护性能

若想恢复以前的cc防护机制，只需攻击设为0即可

此参数出现在OpenWAF-0.0.6版本，TWAF_ANTI_CC的0.0.3版本

timer_flush_expired

语法： “ timer_flush_expired”：数字

默认值： 10

上下文： twaf_limit_conn

编号类型，清理共享_dict过期数据的时间间隔，默认10秒

间隔

语法： “ Interval”：数字

默认值： 10

上下文： twaf_limit_conn

数字类型，进入cc防护后发送日志的时间间隔，默认10秒

shared_dict_name

语法： “ shared_dict_name”：string

默认值： “ twaf_limit_conn”

上下文： twaf_limit_conn

字符串类型，存放当前cc防护信息的共享_dict名称

shared_dict_key

语法： “ shared_dict_key”：字符串|表

默认值： “远程_ADDR”

上下文： twaf_limit_conn

字符串或表类型，shared_dict的键值

支持字符串类型和数组类型

    "shared_dict_key": "remote_addr"
    
    "shared_dict_key": ["remote_addr", "http_user_agent"]

行动

语法： “ action”：字符串

默认： “否认”

上下文： twaf_limit_conn

字符串类型，触发cc防护执行的动作，默认“否认”

Action_Meta

语法： “ action_meta”：数字|字符串

默认值： 403

上下文： twaf_limit_conn

字符串或数字类型，执行动作的附属信息，默认403

暂停

语法： “超时”：编号

默认值： 30

上下文： twaf_limit_conn

数字类型，清洗时长，n秒内不再达到触发阈值，则退出cc清洗状态

在清洗过程中，再次达到触发阈值，则时间重置为30秒

回到TOC

nginx变量

$ twaf_https

语法：设置$ twaf_https 0 | 1

默认值： 0

上下文：服务器

SSL加密

“设置$ twaf_https 1”，则表示请求通过ssl加密

“设置$ twaf_https 0”，则表示请求未通过ssl加密

 server {
    listen 443 ssl;
    set $twaf_https 1;
    ...
}

server {
    listen 80;
    set $twaf_https 0;
    ...
}

$ twaf_upstream_server

语法：设置$ twaf_upstream_server“”

默认值：无

上下文：服务器

用于指定后端服务器地址，只需初始化为空字符串即可，其值由“ server_ssl”和“向前”

 upstream server_1 {
    ...
}

upstream server_2 {
    ...
}

server {
    ...
    
    set $twaf_upstream_server "";
    location / {
        ...
        proxy_pass $twaf_upstream_server;
    }
}

若"server_ssl"值为true, "forward"值为"server_1"
等价于proxy_pass https://server_1;

若"server_ssl"值为false, "forward"值为"server_2"
等价于proxy_pass http://server_2;

回到TOC

保密

变量

args
args_combined_size
args_get
args_get_names
args_names
args_post
args_post_names
bytes_in
Connection_Requests
期间
文件
files_names
地理
geo_code3
geo_code3
geo_id
geo_continine
geo_name
gzip_ratio
http_cookie
http_host
http_referer
http_user_agent
ip_version
Matded_var
Matded_vars
Matded_var_name
Matded_vars_names
Original_dst_addr
Original_dst_port
政策ID
query_string
RAW_HEADER
raw_header_true
远程_ADDR
远程_host
远程_PORT
远程_user
request_basename
request_body
request_cookies
request_cookies_names
request_filename
request_headers
request_headers_names
request_line
request_method
request_protocol
http_version
Uri
URL
request_uri
Response_body
Response_headers
response_status
方案
server_addr
server_name
server_port
会议
session_data
时间
Time_day
time_epoch
time_hour
time_min
time_mon
time_sec
Time_wday
time_year
time_local
TX
unique_id
upstream_cache_status
用户身份

返回var

回到TOC

args

表类型，所有的请求参数，包含args_get和args_post

例如：POST http://www.baidu.com?name=miracle&age=5

请求体为：time=123456&day=365

ARGS变量值为{"name": "miracle", "age": "5", "time": "123456", "day": "365"}

返回var

回到TOC

args_combined_size

数字类型，请求参数总长度，只包含键和值的长度，不包含'＆'或'='等符号

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_COMBINED_SIZE变量值为15，而不是18

返回var

回到TOC

args_get

表类型，querystring参数

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_GET变量值为{"name": "miracle", "age": "5"}

返回var

回到TOC

args_get_names

表类型，querystring参数键值

例如：GET http://www.baidu.com?name=miracle&age=5

ARGS_GET_NAMES变量值为["name", "age"]

返回var

回到TOC

args_names

表类型，querystring参数键值及帖子参数键值

例如：POST http://www.baidu.com?name=miracle&age=5

请求体为：time=123456&day=365

ARGS_NAMES变量值为["name", "age", "time", "day"]

返回var

回到TOC

args_post

表类型，帖子参数

例如：

POST http://www.baidu.com/login.html

请求体为：time=123456&day=365

ARGS_POST变量值为{"time": "123456", "day": "365"}

返回var

回到TOC

args_post_names

表类型，帖子参数键值

例如：

POST http://www.baidu.com/login.html

请求体为：time=123456&day=365

ARGS_POST_NAMES变量值为["time", "day"]

返回var

回到TOC

bytes_in

数字类型，接收信息字节数

返回var

回到TOC

Connection_Requests

数字类型，当前连接中的请求数

返回var

回到TOC

期间

字符串类型，处理事务用时时间，单位：微秒（μs）

返回var

回到TOC

文件

表类型，从请求体中得到的原始文件名（带有文件后缀名）

返回var

回到TOC

files_names

表类型，上传文件名称（不带有后缀名）

返回var

回到TOC

地理

表类型，包含代码3，代码，ID，大陆，名称等字段信息

返回var

回到TOC

geo_code3

字符串类型，3个字母长度的国家缩写

返回var

回到TOC

geo_code

字符串类型，2个字母长度的国家缩写

返回var

回到TOC

geo_id

数字类型，国家

返回var

回到TOC

geo_continine

字符串类型，国家所在大洲

返回var

回到TOC

geo_name

字符串类型，国家全称

返回var

回到TOC

gzip_ratio

字符串类型，压缩比率

返回var

回到TOC

http_cookie

字符串类型，请求头中的cookie字段

返回var

回到TOC

http_host

字符串类型，请求头中的主机字段值，既域名：端口（80缺省）

返回var

回到TOC

http_referer

字符串类型，请求头中的引用字段

返回var

回到TOC

http_user_agent

字符串类型，请求头中的用户代理字段

返回var

回到TOC

ip_version

字符串类型，IPv4或IPv6

返回var

回到TOC

Matded_var

类型不定，当前匹配中的变量

返回var

回到TOC

Matded_vars

表类型，单条规则匹配中的所有变量

返回var

回到TOC

Matded_var_name

字符串类型，当前匹配中的变量名称

返回var

回到TOC

Matded_vars_names

表类型，单条规则匹配中的所有变量名称

返回var

回到TOC

Original_dst_addr

字符串类型，服务器地址，应用代理模式为，waf地址，透明模式为后端服务器地址

返回var

回到TOC

Original_dst_port

字符串类型，服务器端口号，应用代理模式为，waf端口号，透明模式为后端服务器端口号

返回var

回到TOC

政策ID

字符串类型，策略ID

返回var

回到TOC

query_string

字符串类型，未解码的请求参数

返回var

回到TOC

RAW_HEADER

字符串类型，请求头信息，带请求行

返回var

回到TOC

raw_header_true

字符串类型，请求头信息，不带请求行

返回var

回到TOC

远程_ADDR

字符串类型，客户端地址

返回var

回到TOC

远程_host

字符串类型，域名

返回var

回到TOC

远程_PORT

数字类型，端口号

返回var

回到TOC

远程_user

字符串类型，用于身份验证的用户名

返回var

回到TOC

request_basename

字符串类型，请求的文件名

例如: GET http://www.baidu.com/test/login.php

REQUEST_BASENAME值为/login.php

返回var

回到TOC

request_body

类型不定，请求体

返回var

回到TOC

request_cookies

表类型，请求携带的饼干

返回var

回到TOC

request_cookies_names

表类型，请求携带cookie的名称

返回var

回到TOC

request_filename

字符串类型，相对请求URL（相对请求路径）

例如: GET http://www.baidu.com/test/login.php

REQUEST_FILENAME值为/test/login.php

返回var

回到TOC

request_headers

表类型，请求头信息

返回var

回到TOC

request_headers_names

表类型，请求头键

返回var

回到TOC

request_line

字符串类型，请求行

返回var

回到TOC

request_method

字符串类型，请求方法

返回var

回到TOC

request_protocol

字符串类型，http请求协议，如：http/1.1

返回var

回到TOC

http_version

数字类型，http请求协议版本，如：1，1.1，2

返回var

回到TOC

Uri

字符串类型，请求路径，既不带域名，也不带参数

例如: GET http://www.baid.com/test/login.php?name=miracle

URI变量值为/test/login.php

返回var

回到TOC

URL

字符串类型，统一资源定位符

例如: GET http://www.baid.com/test/login.php?name=miracle

URL变量值为http://www.baid.com/test/login.php

返回var

回到TOC

request_uri

字符串类型，请求路径，带参数，但不带有域名

例如: GET http://www.baid.com/test/login.php?name=miracle

REQUEST_URI变量值为/test/login.php?name=miracle

返回var

回到TOC

Response_body

字符串类型，响应体

返回var

回到TOC

Response_headers

表类型，响应头信息

返回var

回到TOC

response_status

功能类型，响应状态码

返回var

回到TOC

方案

字符串类型，http或https

例如：GET http://www.baidu.com/

SCHEME变量值为http

返回var

回到TOC

server_addr

字符串类型，服务器地址

返回var

回到TOC

server_name

字符串类型，服务器名称

返回var

回到TOC

server_port

数字类型，服务器端口号

返回var

回到TOC

会议

表类型，第三方模块lua-resty-session

返回var

回到TOC

session_data

表类型，会议信息

返回var

回到TOC

时间

字符串类型，小时：分钟：第二

返回var

回到TOC

Time_day

数字类型，天（1-31）

返回var

回到TOC

time_epoch

自1970年以来的数字类型，时间戳

返回var

回到TOC

time_hour

数字类型，小时（0-23）

返回var

回到TOC

time_min

数字类型，分钟（0-59）

返回var

回到TOC

time_mon

数字类型，月份（1-12）

返回var

回到TOC

time_sec

数字类型，秒（0-59）

返回var

回到TOC

Time_wday

数字类型，周（0-6）

返回var

回到TOC

time_year

数字，年份，四位数，例如：1997

返回var

回到TOC

time_local

字符串类型，当前时间，例如：26/Aug/2016：01：32：16 -0400

返回var

回到TOC

TX

表类型，用于存储当前请求信息的变量，作用域仅仅是当前请求

返回var

回到TOC

unique_id

字符串类型，id标识，随机生成的字符串，可通过配置来控制随机字符串的长度，可通过配置来控制随机字符串的长度

从v1.0.0β版本开始，默认34位自定义随机字符串ngx.request_id变量获取的16/32位随机字符串

返回var

回到TOC

upstream_cache_status

保持访问响应缓存的状态（0.8.3）。状态可以是“错过”，“绕过”，“过期”，“陈旧”，“更新”，“重新验证”或“ hit”。

返回var

回到TOC

用户身份

字符串类型，从接入规则配置得到的用于ID标识

返回var

回到TOC

转换功能

base64_decode
sql_hex_decode
base64_encode
柜台
compress_whitespace
十六进制
hex_encode
html_decode
长度
小写
MD5
anuartyise_path
remove_nulls
remove_whitespace
replace_comments
remove_comments_char
remove_comments
uri_decode
uri_encode
SHA1
trim_left
trim_right
修剪

回到TFF

回到TOC

base64_decode

解码基本64编码的字符串。

注意：注意变换的执行顺序

例如：
{
   "id": "xxxx",
   ...
   "transform": ["base64_decode", "lowercase"],
   ...
}

先执行base64解码，然后字符串最小化，若顺序调换，会影响结果

回到TFF

回到TOC

sql_hex_decode

解码SQL十六进制数据。

回到TFF

回到TOC

base64_encode

使用base64编码编码输入字符串。

回到TFF

回到TOC

柜台

计数，相当于modsecurity中的'＆'符号

回到TFF

回到TOC

compress_whitespace

将任何空格字符（0x20， f， t， n， r， v，0xa0）转换为空格（ASCII 0x20），将多个连续的空格字符压缩到一个。

回到TFF

回到TOC

十六进制

解码一个使用与六边形中使用的算法相同的算法编码的字符串

回到TFF

回到TOC

hex_encode

用两个十六进制字符替换每个输入字节来编码字符串（可能包含二进制字符）。

回到TFF

回到TOC

html_decode

解码编码为HTML实体的字符。

回到TFF

回到TOC

长度

查找字节中输入字符串的长度

回到TFF

回到TOC

小写

将所有字符转换为小写

回到TFF

回到TOC

MD5

从输入中的数据中计算出MD5哈希。计算的哈希是原始二进制形式的，可能需要编码为要打印（或记录）的文本。哈希函数通常与hex_encode结合使用（例如：“变换”：[“ md5”，“ hex_encode”）。

回到TFF

回到TOC

anuartyise_path

从输入字符串中删除多个斜线，目录自我引用和目录背面引用（在输入开头时除外）。

回到TFF

回到TOC

remove_nulls

从输入中删除所有nul字节

回到TFF

回到TOC

remove_whitespace

从输入中删除所有空格字符。

移除空白字符 s，包含水平定位字符（' t'）、归位键（' r'）、换行（' n'）、垂直定位字符（' v'）或翻页（' f'）等

回到TFF

回到TOC

replace_comments

用一个空格代替 / ... /注释内容

回到TFF

回到TOC

remove_comments_char

删除常见的注释字符（/ *， */， - ， - ＃）。

回到TFF

回到TOC

remove_comments

去掉 / ... /注释内容

回到TFF

回到TOC

uri_decode

将escape str作为逃脱的URI组件。

例如: 
"b%20r56+7" 使用uri_decode转换后为 b r56 7

回到TFF

回到TOC

uri_encode

逃脱str作为URI组件。

回到TFF

回到TOC

SHA1

从输入字符串中计算SHA1哈希。计算的哈希是原始二进制形式的，可能需要编码为要打印（或记录）的文本。哈希功能通常与hex_encode结合使用（例如，“变换”：[“ sha1”，“ hex_encode”]）。

回到TFF

回到TOC

trim_left

从输入字符串的左侧删除空格。

回到TFF

Back to TOC

trim_right

Removes whitespace from the right side of the input string.

Back to TFF

Back to TOC

修剪

Removes whitespace from both the left and right sides of the input string.

Back to TFF

Back to TOC

操作员

begins_with
包含
contains_word
detect_sqli
detect_xss
ends_with
平等的
greater_eq
更大
ip_utils
less_eq
较少的
num_range
正则
str_match
str_range
validate_url_encoding

Back to OPERATORS

Back to TOC

begins_with

Returns true if the parameter string is found at the beginning of the input.

Back to OPERATORS

Back to TOC

包含

Returns true if the parameter string is found anywhere in the input.

operator 为 contains 且 pattern 为数组，等价于 modsecurity 的 pm

PS: modsecurity的pm忽略大小写，OpenWAF中contains不忽略大小写

例如:
{
    "id": "xxx",
    ...
    "operator": "contains",
    "pattern": ["abc", "def"],
    ...
}

Back to OPERATORS

Back to TOC

contains_word

Returns true if the parameter string (with word boundaries) is found anywhere in the input.

Back to OPERATORS

Back to TOC

detect_sqli

This operator uses LibInjection to detect SQLi attacks.

Back to OPERATORS

Back to TOC

detect_xss

This operator uses LibInjection to detect XSS attacks.

Back to OPERATORS

Back to TOC

ends_with

Returns true if the parameter string is found at the end of the input.

Back to OPERATORS

Back to TOC

平等的

Performs a string comparison and returns true if the parameter string is identical to the input string.

等价于 modsecurity 的 eq 和 streq

例如:
{
    "id": "xxx",
    ...
    "operator": "equal",
    "pattern": [12345, "html", "23456"]
    ...
}

Back to OPERATORS

Back to TOC

greater_eq

Performs numerical comparison and returns true if the input value is greater than or equal to the provided parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

更大

Performs numerical comparison and returns true if the input value is greater than the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

ip_utils

Performs a fast ipv4 or ipv6 match of REMOTE_ADDR variable data. Can handle the following formats:

Full IPv4 Address: 192.168.1.100 Network Block/CIDR Address: 192.168.1.0/24 IPv4 Address Region: 1.1.1.1-2.2.2.2

从 v1.0.0β 版本开始支持 IPv6，如8888::192.168.1.1

ip_utils与pf的组合相当于modsecurity中的ipMatchF和ipMatchFromFile

例如:
规则如下：
{
    "id": "xxxx",
    ...
    "operator": "ip_utils",
    "pf": "/tmp/ip_blacklist.txt",
    ...
}
"/tmp/ip_blacklist.txt"文件内容如下：
192.168.1.100
192.168.1.0/24
1.1.1.1-2.2.2.2
8888::192.168.1.1
8888::1:1

Back to OPERATORS

Back to TOC

less_eq

Performs numerical comparison and returns true if the input value is less than or equal to the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

Back to TOC

较少的

Performs numerical comparison and returns true if the input value is less than to the operator parameter.

return false, if a value is provided that cannot be converted to a number.

Back to OPERATORS

[Back to TOC](#table-of-contents

num_range

判断是否在数字范围内

它与transform的length组合，相当于modsecurity的validateByteRange

 {
    "id": "xxx",
    ...
    "operator": "num_range",
    "pattern": [10, "13", "32-126"],
    "transform": "length",
    ...
}

Back to OPERATORS

Back to TOC

正则

Performs a regular expression match of the pattern provided as parameter.

regex 等于 rx + capture，即 regex 同时包含 modsecurity 的 rx 功能和 capture 捕获功能

modsecurity有关capture的描述如下： When used together with the regular expression operator (@rx), the capture action will create copies of the regular expression captures and place them into the transaction variable collection.

OpenWAF 中无单独的 capture 指令，但使用 regex 默认开启 capture 功能

例如:
{
    "id": "000031",
    "release_version": "858",
    "charactor_version": "001",
    "opts": {
        "nolog": false
    },
    "phase": "access",
    "action": "deny",
    "meta": 403,
    "severity": "low",
    "rule_name": "protocol.reqHeader.c",
    "desc": "协议规范性约束，检测含有不合规Range或Request-Range值的HTTP请求",
    "match": [
        {
            "vars": [
                {
                    "var": "REQUEST_HEADERS",
                    "parse": {
                        "specific": "Range"
                    }
                },
                {
                    "var": "REQUEST_HEADERS",
                    "parse": {
                        "specific": "Request-Range"
                    }
                }
            ],
            "operator": "regex",
            "pattern": "(\d+)\-(\d+)\,"
        },
        {
            "vars": [{
                "var": "TX",
                "parse": {
                    "specific": "2"
                }
            }],
            "operator": "greater_eq",
            "pattern": "%{TX.1}",
            "parse_pattern": true,
            "op_negated": true
        }
    ]
}

Back to OPERATORS

Back to TOC

str_match

等同于contains

Back to OPERATORS

Back to TOC

str_range

判断是否在字符串范围内

例如时间区间判断:
{
    "id": "xxx",
    ...
    "operator": "str_range",
    "pattern": ["01:42:00-04:32:00"],
    ...
}

Back to OPERATORS

Back to TOC

validate_url_encoding

Validates the URL-encoded characters in the provided input string.

Back to OPERATORS

Back to TOC

其他的

允许
allow_phase
否定
ID
nolog
op_negated
解析
经过
警告
审计
阶段
proxy_cache
pf
pset
重定向
charactor_version
严重程度
setvar
元
ngx_var
转换
标签
release_version
机器人
add_resp_headers

Back to OTHERS

Back to TOC

允许

Stops processing of the current phase but also skipping over all other phases.

 "action": "allow"

一旦执行此动作，则后面的防护规则及其他安全模块均不进行安全检测，此动作一般用于白名单

Back to OTHERS

Back to TOC

allow_phase

Stops processing of the current phase.

 "action": "allow_phase"

Back to OTHERS

Back to TOC

否定

Stops rule processing and intercepts transaction.

 "action": "deny",
"meta": 403

Back to OTHERS

Back to TOC

ID

Stops rule processing and intercepts transaction.

 "id": "xxxxxxx"

Back to OTHERS

Back to TOC

nolog

不记录日志

 "opts": {
    "nolog": true
}

Back to OTHERS

Back to TOC

op_negated

对operator结果的取反

 "match": [{
    "vars": [{
        "var": "HTTP_USER_AGENT"
    }],
    "transform": "length",
    "operator": "less_eq",
    "pattern": 50,
    "op_negated": true
}]

等价于

"match": [{
    "vars": [{
        "var": "HTTP_USER_AGENT"
    }],
    "transform": "length",
    "operator": "greater",
    "pattern": 50
}]

若请求头中user_agent字段长度大于50，则匹配中此条规则

Back to OTHERS

Back to TOC

解析

对变量进一步解析

若请求GET http://www.baidu.com?name=miracle&age=5

"match": [{
    "vars": [{
        "var": "ARGS_GET"
    }]，
    ...
}]
得到的值为{"name": "miracle", "age": "5"}


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "specific": "name"
        }
    }]
}]
得到的值为["miracle"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "specific": ["name", "age"]
        }
    }]
}]
得到的值为["miracle", "5"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "ignore": "name"
        }
    }]
}]
得到的值为{"age": "5"}


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "ignore": ["name", "age"]
        }
    }]
}]
得到的值为[]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "keys": true
        }
    }]
}]
得到的值为["name", "age"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "values": true
        }
    }]
}]
得到的值为["miracle", "5"]


"match": [{
    "vars": [{
        "var": "ARGS_GET",
        "parse": {
            "all": true
        }
    }]
}]
得到的值为["name", "age", "miracle", "5"]

Back to OTHERS

Back to TOC

经过

Continues processing with the next rule in spite of a successful match.

 "action": "pass"

Back to OTHERS

Back to TOC

警告

like 'pass'

 "action": "warn"

Back to OTHERS

Back to TOC

审计

like 'pass'

 "action": "audit"

Back to OTHERS

Back to TOC

阶段

规则执行的阶段，取值可为"access","header_filter","body_filter"的组合

 {
    "id": "xxx_01",
    "phase": "access",
    ...
}
"xxx_01"规则在access阶段执行

{
    "id": "xxx_02",
    "phase": ["access", "header_filter"],
    ...
}
"xxx_02规则在access阶段和"header_filter"阶段各执行一次

Back to OTHERS

Back to TOC

proxy_cache

 {
    ...
    phase = "header_filter",         -- 缓存开关需在header_filter阶段配置
    action = "pass",                 -- 无需拦截请求
    opts = {
        nolog = true,                -- 不需记录日志
        proxy_cache = {
            state = true|false,      -- 缓存开关
            expired = 600            -- 缓存时长（单位秒）,默认600秒
        }
    }
    ...
}

若state为true，且得到的缓存状态为"MISS"或"EXPIRED"，则对响应内容进行缓存，同时设置缓存时长
若state为false，则清除对应缓存键的缓存（包含其缓存文件）

举例如下：

 # nginx.conf 有关proxy cache 配置如下
http {
    proxy_cache_path  /opt/cache/OpenWAF-proxy levels=2:2 keys_zone=twaf_cache:101m max_size=100m use_temp_path=off;
    proxy_cache_key $host$uri;
    proxy_cache twaf_cache;
    proxy_ignore_headers X-Accel-Expires Cache-Control Set-Cookie;
    proxy_no_cache $twaf_cache_flag;
    
    server {
        set $twaf_cache_flag 1;         #默认不缓存
    }
}

# lua 格式 配置
{ 
    id = "test_x01",                      -- id 全局唯一
    opts = {
        nolog = true,
        proxy_cache = {
            state = true,
            expired = 300
        }
    },
    phase = "header_filter", 
    action = "pass",
    match = {{
        vars = {{
            var = "URI"
        },{
            var = "REQUEST_HEADERS",
            parse = {
                specific = "Referer"
            }
        }},
        operator = "equal",
        pattern = {"/xampp/", "%{SCHEME}://%{HTTP_HOST}/xampp/"},
        parse_pattern = true
    }}
}
此规则将缓存URI为'/xampp/'的页面，更新时间为300秒

若match中过滤条件为响应码，则相当于Nginx的proxy_cache_valid指令
若match中过滤条件为请求方法，则相当于Nginx的proxy_cache_methods指令
若macth中过滤条件为资源类型，则相当于Nginx的proxy_cache_content_type指令

PS: proxy_cache_content_type指令为官方指令，是miracle Qi修改Nginx源码扩展的功能

Back to OTHERS

Back to TOC

pf

pattern是operator操作的参数

pf是指pattern from file，与pattern和pset互斥（三者不可同时出现），目前仅支持绝对路径

pf 与 contains 组合，相当于modsecurity的 pmf 或 pmFromFile

pf 与 ip_utils 组合，相当于modsecurity的 ipMatchF 或 ipMatchFromFile

Back to OTHERS

Back to TOC

pset

集合。pattern、pf 和 pset 互斥(只能同时出现一个)。

暂不支持数组。

使用方法详见 https://github.com/titansec/openwaf_api#pset_post

Back to OTHERS

Back to TOC

重定向

 "action": "redirect",
"meta": "/index.html"

Back to OTHERS

Back to TOC

charactor_version

指定此条规则的版本，同modsecurity中Action的rev功能

 "charactor_version": "001"

Back to OTHERS

Back to TOC

严重程度

Assigns severity to the rule in which it is used.

The data below is used by the OWASP ModSecurity Core Rule Set (CRS):

EMERGENCY: is generated from correlation of anomaly scoring data where there is an inbound attack and an outbound leakage. ALERT: is generated from correlation where there is an inbound attack and an outbound application level error. CRITICAL: Anomaly Score of 5. Is the highest severity level possible without correlation. It is normally generated by the web attack rules (40 level files). ERROR: Error - Anomaly Score of 4. Is generated mostly from outbound leakage rules (50 level files). WARNING: Anomaly Score of 3. Is generated by malicious client rules (35 level files). NOTICE: Anomaly Score of 2. Is generated by the Protocol policy and anomaly files. INFO DEBUG

也可自定义严重等级，如:low，medium，high，critical等

 "severity": "high"

Back to OTHERS

Back to TOC

setvar

Creates, removes, or updates a variable.

 {
    "id": "xxx_01",
    "opts":{
        "nolog": false,
        "setvar": [{
            "column": "TX",
            "key": "score",
            "value": 5,
            "incr": true
        }]
    },
    ...
}
"xxx_01"规则中，给变量TX中score成员的值加5，若TX中无score成员，则初始化为0，再加5

{
    "id": "xxx_02",
    "opts":{
        "nolog": false,
        "setvar": [{
            "column": "TX",
            "key": "score",
            "value": 5
        }]
    },
    ...
}

"xxx_02"规则中，给变量TX中score成员的值赋为5

Back to OTHERS

Back to TOC

元

"action"的附属信息

若"action"为"deny"，则"meta"为响应码
"action": "deny",
"meta": 403

若"action"为"redirect"，则"meta"为重定向地址
"action": "redirect",
"meta": "/index.html"

Back to OTHERS

Back to TOC

ngx_var

为 nginx 变量赋值，支持赋值字符串

v1.0.0β版本之后支持赋值变量%{}

如在 nginx.conf 中 set $twaf_test "";

可在 secrules 中基于条件动态赋值
"opts": {
    "ngx_var": {
        "twaf_test": "1.1.1.1"      -- 也可赋值变量，如 "twaf_test": "%{remote_addr}"
    }
}

Back to OTHERS

Back to TOC

转换

This action is used to specify the transformation pipeline to use to transform the value of each variable used in the rule before matching.

Back to OTHERS

Back to TOC

release_version

规则集版本，等同于modsecurity中Action的ver功能

 "release_version": "858"

Back to OTHERS

Back to TOC

机器人

人机识别

需提前配置人机识别模块配置，此功能暂未放开

 "action": "robot"

Back to OTHERS

Back to TOC

add_resp_headers

增删改响应头

例如隐藏server字段:
"opts": {
    "add_resp_headers": {
        "server": ""
    }
}

Back to OTHERS

Back to TOC

捐款

贝宝

通过 PayPal 来支持 OpenWAF

支付宝

微信

Back to TOC

展开