搜索

[11947] 2017-10-29_基于openresty实现透明部署动态口令功能

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-10-29_基于openresty实现透明部署动态口令功能 基 于 o p e n r e s t y 实 现 透 明 部 署 动 态 口 令 功 能 c h e n j c   F r e e B u f   2 0 1 7 - 1 0 - 2 9 * 本 文 原 创 作 者 ： c h e n j c ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 今 天 来 讲 讲 基 于 今 天 来 讲 讲 基 于 o p e n r e s t y 来 实 现 透 明 部 署 动 态 口 令 功 能 ， 动 态 口 令 的 基 础 概 念 这 里 就 不 讲 了 ， 网 上 的 介 绍 很 来 实 现 透 明 部 署 动 态 口 令 功 能 ， 动 态 口 令 的 基 础 概 念 这 里 就 不 讲 了 ， 网 上 的 介 绍 很 多 ， 下 面 直 入 正 题 。 多 ， 下 面 直 入 正 题 。 企 业 内 部 系 统 部 署 方 案 企 业 内 部 系 统 部 署 方 案 通 过 在 原 有 的 业 务 系 统 上 ， 部 署 W A F 来 反 向 代 理 业 务 请 求 ， 从 而 实 现 透 明 部 署 动 态 口 令 功 能 。 架 构 图 如 下 架 构 图 如 下 : W A F 在 接 收 到 用 户 提 交 的 特 定 请 求 时 ， 会 获 取 用 户 密 码 后 六 位 ， 即 动 态 口 令 的 值 ， 在 对 动 态 口 令 进 行 校 验 后 ， 如 果 正 确 则 重 写 该 请 求 ， 将 请 求 中 的 后 六 位 删 除 再 转 发 到 业 务 系 统 ， 如 果 失 败 则 丢 弃 该 请 求 并 提 示 。 通 过 以 上 方 式 ， 无 需 对 原 系 统 的 代 码 进 行 任 何 修 改 ， 即 可 实 现 部 署 动 态 口 令 功 能 的 效 果 。 实 战 实 战 : 新 建 文 件   w a f _ o t p _ r u l e . j s o n   内 容 如 下 :
以 w e b g o a t 为 例 ， 规 则 的 意 思 是 ， 先 识 别 识 别 请 求 u r l 是 否 为   / w e b g o a t / l o g i n ， 如 果 是 ， 判 断 p a s s w o r d 参 数 的 值 的 长 度 是 否 大 于 0 ， 如 果 是 ， 则 执 行 r u l e _ o t p _ k e y 动 作 ， 将 p a s s w o r d 的 值 的 最 后 六 位 数 取 出 来 与 O T P 密 钥 生 成 的 k e y 进 行 匹 配 ， 正 确 则 重 写 p a s s w o r d 参 数 ， 将 参 数 后 六 位 删 除 ， 确 保 后 端 业 务 系 统 能 正 确 识 别 密 码 。 如 果 动 态 口 令 识 别 失 败 ， 则 将 请 求 重 定 向 到 r u l e _ o t p _ r e d i r e c t 指 定 的 地 址 ， 即 w e b g o a t 的 登 录 页 面 。 效 果 效 果 : 首 先 打 开 微 信 小 程 序 ， 搜 索 运 维 密 码 ， 这 是 个 开 源 的 动 态 口 令 客 户 端 应 用 ， 每 3 0 秒 会 更 新 一 次 k e y ， 详 细 使 用 方 法 请 查 看 官 方 说 明 。
输 入 账 号 f r e e b u f ， 密 码 1 2 3 4 5 6
O T P 验 证 失 败 ， 返 回 登 录 页 面 输 入 账 号 f r e e b u f ， 密 码 1 2 3 4 5 6 8 9 8 9 2 6   ( 8 9 8 9 2 6 为 上 图 的 验 证 码 ) ， 成 功 登 录 后 台 以 上 是 针 对 单 一 应 用 的 情 况 ， 下 面 讲 讲 内 部 应 用 统 一 登 录 验 证 的 方 案 架 构 图 如 下 架 构 图 如 下 :
实 现 上 和 单 应 用 的 情 况 是 差 不 多 ， 针 对 每 个 不 同 的 应 用 ， 单 独 配 置 n g i n x 的 反 向 代 理 和 w a f 的 规 则 文 件 即 可 ， 相 比 单 应 用 情 况 不 同 的 是 ， 如 果 需 要 针 对 不 同 的 用 户 ， 不 同 的 应 用 单 独 设 置 O T P 密 钥 ， 那 该 怎 么 办 呢 ？ 可 以 参 考 下 面 的 规 则 :
在 原 有 规 则 的 基 础 上 ， 新 加 一 个 判 断 条 件 ， 当 检 测 到 用 户 为 f r e e b u f , a d m i n , r o o t 时 , 才 匹 配 该 规 则 。 将 该 规 则 复 制 ， 修 改 r u l e _ o t p _ p a s s w o r d 的 值 ， ^ ( f r e e b u f | a d m i n | r o o t ) $ 为 其 他 用 户 ， 即 可 为 每 个 用 户 单 独 分 配 不 同 的 密 钥 。 针 对 其 他 应 用 也 是 同 理 ， 即 可 实 现 每 个 不 同 用 户 在 每 个 不 同 应 用 上 的 密 钥 都 是 不 同 的 。 以 上 方 法 适 合 中 小 企 业 ， 也 就 是 人 数 不 多 ， 应 用 也 不 多 的 情 况 。 下 面 来 讲 讲 在 线 上 有 大 量 用 户 情 况 下 的 部 署 情 况 ， 同 理 适 用 有 大 量 用 户 的 内 部 部 署 的 情 况 。 线 上 系 统 部 署 实 现 方 案 线 上 系 统 部 署 实 现 方 案 : 线 上 部 署 的 情 况 需 要 新 加 两 条 规 则 ， 如 下 :
如 果 用 户 登 录 成 功 ， 以 J S E S S I O N I D 为 键 ， u s e r n a m e 为 值 ， 存 入 缓 存 中 。 这 条 规 则 为 开 启 O T P 密 钥 二 维 码 页 面 ， 访 问 该 请 求 时 ， 会 先 校 验 J S E S S I O N I D 是 否 存 在 ， 如 不 存 在 拒 绝 访 问 ， 如 果 存 在 ， 查 询 J S E S S I O N I D 的 值 ， 即 u s e r n a m e 的 值 是 否 存 在 r e d i s 服 务 器 ， 如 果 不 存 在 ， 生 成 随 机 O T P 密 钥 ， 显 示 密 钥 二 维 码 在 页 面 上 ， 并 以 用 户 名 为 键 ， 密 钥 字 符 串 为 值 存 入 r e d i s 服 务 器 。 如 果 存 在 ， 则 将 用 户 名 对 应 的 密 钥 取 出 ， 生 成 二 维 码 显 示 在 页 面 上 。 最 后 是 开 启 全 局 规 则 配 置 选 项 ” o t p _ r e d i s _ l o g i n _ c h e c k ” : ” t r u e ” 。 处 理 流 程 图 如 下 :
从 图 中 可 以 看 出 ， 在 开 启 了 o t p _ r e d i s _ l o g i n _ c h e c k 选 项 后 ， 只 有 访 问 了 O T P 二 维 码 生 成 页 面 的 用 户 才 会 开 启 O T P 登 录 验 证 功 能 ， 那 么 就 可 以 在 线 上 环 境 中 ， 增 加 一 个 ” 开 启 动 态 口 令 ” 按 钮 ， 当 用 户 点 击 后 重 定 向 到 二 维 码 页 面 ， 用 户 通 过 微 信 小 程 序 ” 运 维 密 码 ” ( 开 源 ， 真 正 使 用 建 议 独 立 部 署 一 套 ) 完 成 O T P 的 配 置 ， 简 单 方 便 。 动 态 口 令 功 能 不 仅 限 于 在 登 录 的 场 景 下 使 用 ， 也 可 以 在 任 意 重 要 操 作 中 ， 比 如 资 金 交 易 时 输 入 资 金 交 易 密 码 ， 修 改 原 有 密 码 等 业 务 场 景 中 ， 新 加 业 务 场 景 只 需 新 增 一 条 规 则 即 可 。 以 上 是 针 对 线 上 的 情 况 ， 针 对 内 部 有 大 量 用 户 的 情 况 ， 方 法 跟 上 述 差 不 多 ， 比 如 先 邮 件 通 知 ， 限 期 让 大 家 登 陆 应 用 后 访 问 O T P 二 维 码 页 面 ， 也 可 以 配 置 规 则 ， 在 登 录 成 功 时 强 制 重 定 向 到 O T P 二 维 码 页 面 ， 等 限 期 结 束 后 ， 关 闭 o t p _ r e d i s _ l o g i n _ c h e c k 选 项 ， 强 制 所 有 登 录 走 O T P ， 之 后 有 没 配 置 的 ， 或 者 新 员 工 ， 可 以 通 过 后 台 系 统 单 独 添 加 。 总 结 总 结 : 相 比 于 网 站 后 端 开 发 O T P 功 能 的 方 式 ， 该 方 法 的 优 点 在 于 适 用 任 何 后 端 语 言 ， 无 论 后 端 是 基 于 j a v a ， . N E T , p y t h o n 还 是 其 他 语 言 都 没 有 影 响 ， 无 需 对 网 站 代 码 进 行 修 改 ， 即 可 实 现 快 速 部 署 。 当 需 要 新 加 验 证 场 景 时 ， 只 需 新 加 规 则 即 可 ， 后 端 无 需 重 新 开 发 。 当 不 需 要 该 功 能 时 ， 只 需 将 该 功 能 模 块 关 闭 ， 或 者 在 网 络 架 构 中 移 除 w a f 即 可 ， 不 会 对 原 有 的 前 后 端 造 成 影 响 。 功 能 还 在 完 善 中 ， 有 不 足 的 地 方 欢 迎 指 出 : ) 。 邮 箱 j x - s e c # o u t l o o k . c o m , 对 w a f 开 发 这 块 感 兴 趣 的 欢 迎 交 流 。 文 章 为 一 个 系 列 ， 主 要 讲 W A F 开 发 中 各 种 有 意 思 的 新 功 能 和 思 路 ， 其 他 文 章 可 以 通 过 下 面 链 接 查 看 基 于 O p e n r e s t y 实 现 业 务 安 全 防 护 h t t p : / / w w w . f r e e b u f . c o m / v u l s / 1 5 0 5 7 1 . h t m l * 本 文 原 创 作 者 ： c h e n j c ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理