搜索

[17192] 2021-08-25_通过ModSecurity防御一个C段IP发起的CC、扫描、采集等恶意行为

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-25_通过ModSecurity防御一个C段IP发起的CC、扫描、采集等恶意行为 通 过 M o d S e c u r i t y 防 御 一 个 C 段 I P 发 起 的 C C 、 扫 描 、 采 集 等 恶 意 行 为 原 创   w a n g z i 2 0 4 9   F r e e B u f   2 0 2 1 - 0 8 - 2 5 一 、 概 述 一 、 概 述 目 前 ， 很 多 W E B 服 务 都 具 备 了 能 够 防 御 单 I P 发 起 的 C C 、 扫 描 、 采 集 等 恶 意 行 为 的 工 具 或 模 块 ， 如 N g i n x 的 H t t p L i m i t R e q M o d u l e 模 块 ， A p a c h e 的 m o d _ e v a s i v e 模 块 ， 而 且 O W A S P 规 则 自 身 也 包 含 了 针 对 单 I P 发 起 的 D O S 攻 击 防 护 ， 但 通 过 在 云 计 算 行 业 的 多 年 工 作 经 验 中 发 现 ， 为 了 避 免 单 I P 的 恶 意 行 为 被 拦 截 ， 黑 客 甚 至 会 直 接 在 运 营 商 处 租 赁 1 个 ， 或 多 个 C 的 I P 段 ， 然 后 使 用 C 段 内 的 I P 循 环 发 起 恶 意 行 为 ， 降 低 了 单 个 I P 单 位 时 间 内 的 访 问 频 率 ， 导 致 上 述 防 御 手 段 无 法 触 发 。 针 对 上 述 情 况 ， 本 文 将 讲 述 个 人 所 研 究 出 的 四 种 方 案 ， 用 于 应 对 C 段 I P 地 址 发 起 的 恶 意 行 为 ， 并 讲 述 对 应 的 防 御 思 路 、 根 据 防 御 思 路 所 编 写 的 具 体 规 则 以 及 方 案 的 优 缺 点 。 其 中 方 案 1 不 可 用 ， 不 可 用 原 因 是 M o d S e c u r i t y 自 身 机 制 导 致 ， 但 方 案 1 确 实 为 最 优 方 案 ， 其 中 也 描 写 了 发 现 其 不 可 用 原 因 的 过 程 。 如 果 网 站 并 发 较 小 ， 可 直 接 采 用 方 案 二 ， 反 之 则 建 议 采 用 方 案 三 或 方 案 四 ， 如 果 自 身 或 公 司 内 部 具 备 开 发 能 力 ， 则 建 议 直 接 采 用 方 案 四 。 二 、 前 提 工 作 二 、 前 提 工 作 在 进 行 下 述 方 案 时 ， 首 先 需 要 定 义 防 御 阈 值 ， 用 于 设 定 指 定 时 间 内 ， 达 到 指 定 的 访 问 次 数 时 ， 将 C 段 I P 封 停 的 时 间 ， 而 在 O W A S P 规 则 中 ， 已 经 包 含 了 对 应 的 的 规 则 ， 我 们 只 需 进 行 简 单 的 配 置 即 可 。 在 c r s - s e t u p . c o n f 文 件 中 ， 找 到 I D 为 9 0 0 2 6 0 、 9 0 0 7 0 0 的 两 条 规 则 ， 并 取 消 注 释 ： （ 注 意 ， 一 旦 取 消 该 两 条 规 则 ， O W A S P 规 则 中 针 对 单 I P 的 D O S 防 御 功 能 也 会 启 动 ， 但 由 于 防 御 C 段 I P 的 规 则 也 会 自 动 对 单 I P 进 行 防 御 ， 因 此 可 将 O W A S P 规 则 中 单 I P 的 D O S 防 御 功 能 关 闭 ， 减 少 规 则 匹 配 次 数 ， 详 细 做 法 为 修 改 R E Q U E S T - 9 1 2 - D O S - P R O T E C T I O N . c o n f 文 件 名 称 ， 直 接 添 加 ” . b a k ” 后 缀 即 可 ， 或 直 接 删 除 该 文 件 ） I D 为 9 0 0 2 6 0 的 规 则 定 义 了 静 态 资 源 的 后 缀 名 ， 在 判 断 是 否 是 C C 攻 击 或 采 集 行 为 时 ， 此 类 静 态 资 源 的 访 问 不 在 计 数 范 围 内 。 I D 为 9 0 0 7 0 0 的 规 则 定 义 了 防 御 阈 值 ， 即 如 果 在 6 0 秒 内 （ t x . d o s _ b u r s t _ t i m e _ s l i c e ） ， I P 地 址 的 访 问 频 率 达 到 了 1 0 0 次 （ t x . d o s _ c o u n t e r _ t h r e s h o l d ） ， 就 被 判 定 为 一 次 攻 击 嫌 疑 ， 而 一 旦 将 I P 地 址 封 禁 ， 6 0 0 秒 后 （ t x . d o s _ b l o c k _ t i m e o u t ） 才 会 解 封 。 可 根 据 自 身 需 求 更 改 上 述 参 数 值 。 三 、 方 案 一 三 、 方 案 一 1 . 防 御 思 路 防 御 思 路 a 、 通 过 正 则 匹 配 方 式 ， 得 出 客 户 端 I P 的 C 段 地 址 并 记 录 ； b 、 在 全 局 集 合 中 创 建 变 量 ， 以 得 出 的 C 段 地 址 进 行 命 名 ， 用 于 保 存 该 C 段 I P 的 访 问 次 数 总 和 ， 与 此 同 时 ， 由 于 是 判 断 指 定 时 间 内 的 访 问 次 数 是 否 超 过 阈 值 ， 因 此 设 置 该 变 量 的 销 毁 时 间 为 设 置 的 频 率 时 间 ， 即 t x . d o s _ b u r s t _ t i m e _ s l i c e ； c 、 当 客 户 端 访 问 W E B 服 务 时 ， 判 断 对 应 的 C 段 访 问 次 数 是 否 大 于 设 定 的 阈 值 ， 如 果 不 大 于 ， 则 访 问 继 续 ， 同 时 该 C 段 访 问 次 数 + 1 ； 如 果 大 于 ， 则 阻 断 此 次 访 问 ， 同 时 修 改 该 变 量 销 毁 时 间 为 封 停 时 间 ， 即 t x . d o s _ b l o c k _ t i m e o u t ， 时 间 一 到 ， 该 变 量 自 动 销 毁 ， 此 时 该 C 段 I P 即 可 自 动 解 封 ， 恢 复 对 W E B 服 务 的 正 常 访 问 。 2 . 具 体 规 则 具 体 规 则 3 . 方 案 优 缺 点 方 案 优 缺 点 优 点 ： a 、 规 则 少 ， 相 应 的 匹 配 次 数 少 ， 大 并 发 情 况 下 不 会 消 耗 服 务 器 过 多 资 源 ； b 、 仅 通 过 M o d S e c u r i t y 即 可 进 行 防 御 ， 无 需 引 入 第 三 方 插 件 或 工 具 。 缺 点 ： 该 方 案 有 一 个 致 命 缺 点 ： 无 法 起 到 防 御 效 果 … … 原 因 为 M o d S e c u r i t y 自 身 机 制 所 致 ， % { } 是 M o d S e c u r i t y 定 义 的 用 于 获 取 指 定 变 量 的 值 的 操 作 符 ， 但 是 该 操 作 符 若 出 现 在 规 则 中 的 特 定 位 置 时 将 不 会 S e c A c t i o n   " i d : 9 0 0 2 6 0 , p h a s e : 1 , n o l o g , p a s s , t : n o n e , s e t v a r : ' t x . s t a t i c _ e x t e n s i o n s = / . j p g /   / . j p e g /   / . p n g /   / . g i f /   / . j s /   / . c s s /   / . i c o /   / . s v g /   / . w e b p / ' " S e c A c t i o n   " i d : 9 0 0 7 0 0 , p h a s e : 1 , n o l o g , p a s s , t : n o n e , s e t v a r : ' t x . d o s _ b u r s t _ t i m e _ s l i c e = 3 0 ' , s e t v a r : ' t x . d o s _ c o u n t e r _ t h r e s h o l d = 5 ' , s e t v a r : ' t x . d o s _ b l o c k _ t i m e o u t = 6 0 0 ' " # 通 过 正 则 获 取 客 户 端 I P 的 C 段 地 址 ， 然 后 在 i p 集 合 中 创 建 名 为 i p _ c _ m s g 的 变 量 ， 将 其 值 设 置 为 I P 的 C 段 地 址 ， 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 i p _ c _ m s g 变 量 的 值 为 " 1 9 2 . 1 6 8 . 1 1 . " S e c R u l e   R E M O T E _ A D D R   " ^ ( ( 2 5 [ 0 - 5 ] " 2 [ 0 - 4 ] d " [ 0 1 ] ? d d ? ) . ) { 3 } "   " i d : 1 0 0 0 0 , n o l o g , p a s s , p h a s e : 1 , c a p t u r e , s e t v a r : i p . i p _ c _ m s g = % { T X . 0 } " # 判 断 全 局 集 合 中 ， 记 录 该 I P 所 在 C 段 的 访 问 次 数 的 变 量 是 否 超 过 了 设 定 的 阈 值 # 如 果 超 过 ， 则 阻 断 此 次 访 问 ， 同 时 将 变 量 的 销 毁 时 间 设 置 为 封 禁 时 间 ， 否 则 ， 将 继 续 执 行 下 方 规 则 S e c R u l e   G L O B A L : % { i p . i p _ c _ m s g }   " @ g e   % { t x . d o s _ c o u n t e r _ t h r e s h o l d } "   " i d : 1 0 0 0 1 , d r o p , l o g , p h a s e : 1 , e x p i r e v a r : g l o b a l . % { i p . i p _ c _ m s g } = % { t x . d o s _ b l o c k _ t i m e o u t } " # 判 断 此 次 访 问 是 否 是 静 态 资 源 ， 如 果 不 是 的 话 ， 执 行 第 二 条 ， 将 全 局 集 合 中 ， 记 录 该 I P 地 址 所 在 C 段 的 访 问 次 数 + 1 ， 同 时 设 置 该 变 量 销 毁 时 间 为 计 数 周 期 % { t x . d o s _ b u r s t _ t i m e _ s l i c e } ， 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 g l o b a l 集 合 中 会 创 建 名 为 S e c R u l e   R E Q U E S T _ B A S E N A M E   " . * ? ( . [ a - z 0 - 9 ] { 1 , 1 0 } ) ? $ "   " i d : 1 0 0 0 2 , p h a s e : 5 , t : n o n e , t : l o w e r c a s e , n o l o g , p a s s , c a p t u r e , s e t v a r : t x . e x t e n s i o n = / % { T X . 1 } / , c h a i n " S e c R u l e   T X : E X T E N S I O N   " ! @ w i t h i n   % { t x . s t a t i c _ e x t e n s i o n s } "   " s e t v a r : g l o b a l . % { i p . i p _ c _ m s g } = + 1 , e x p i r e v a r : g l o b a l . % { i p . i p _ c _ m s g } = % { t x . d o s _ b u r s t _ t i m e _ s l i c e } "
执 行 ， 如 下 所 示 （ 加 粗 部 分 ） ： 上 述 规 则 ， 旨 在 对 集 合 中 对 应 C 段 I P 地 址 的 访 问 次 数 进 行 判 断 ， G L O B A L : % { i p . i p _ c _ m s g } ， 个 人 原 本 设 想 的 是 ， M o d S e c u r i t y 会 先 通 过 % { } 操 作 符 获 取 i p . i p _ c _ m s g 的 值 ， 即 ” 1 9 2 . 1 6 8 . 1 1 . ” ， 然 后 再 去 获 取 G L O B A L 集 合 中 ， 名 称 为 ” 1 9 2 . 1 6 8 . 1 1 . ” 变 量 的 值 ， 用 于 后 续 判 断 ， 但 实 际 此 时 % { } 并 不 执 行 ， M o d S e c u r i t y 会 直 接 去 G L O B A L 集 合 中 ， 获 取 名 称 为 ” % { i p . i p _ c _ m s g } ” 的 变 量 的 值 ， 但 集 合 中 根 本 不 存 在 此 变 量 ， 因 此 永 远 不 会 触 发 拦 截 操 作 。 针 对 上 述 情 况 ， 本 人 又 想 了 另 外 一 种 方 式 ， 即 在 I P 集 合 中 额 外 设 置 一 个 固 定 名 称 的 变 量 ， 然 后 将 G L O B A L : % { i p . i p _ c _ m s g } 的 值 赋 给 新 的 变 量 ， 然 后 直 接 判 断 新 定 义 的 固 定 变 量 的 值 ， 如 s e t v a r : i p . i p _ c _ c o u n t = % { g l o b a l . % { i p . i p _ c _ m s g } } ， 但 实 际 测 试 后 发 现 ， 此 方 案 也 行 不 通 ， 原 因 仍 然 为 % { } 操 作 符 导 致 ， 上 述 赋 值 的 语 句 中 ， 个 人 原 本 设 想 ， M o d S e c u r i t y 会 先 获 取 i p . i p _ c _ m s g 的 值 ， 即 ” 1 9 2 . 1 6 8 . 1 1 . ” ， 然 后 再 去 获 取 G L O B A L 集 合 中 ， 名 称 为 ” 1 9 2 . 1 6 8 . 1 1 . ” 变 量 的 值 ， 但 实 际 测 试 发 现 ， % { g l o b a l . % { i p . i p _ c _ m s g } } 的 最 终 结 果 为 ” } ” ， 个 人 猜 测 ， M o d S e c u r i t y 应 该 是 通 过 正 则 去 获 取 变 量 名 称 ， 而 没 有 判 断 变 量 中 是 否 存 在 多 个 % { } 操 作 符 ， 因 此 导 致 ， 对 于 % { g l o b a l . % { i p . i p _ c _ m s g } } ， 加 粗 部 分 为 M o d S e c u r i t y 实 际 匹 配 到 的 % { } 操 作 符 的 开 始 与 结 尾 ， 中 间 部 分 作 为 一 个 整 体 被 当 做 变 量 名 称 ， 但 实 际 并 不 存 在 名 称 为 ” g l o b a l . % { i p . i p _ c _ m s g ” 这 一 变 量 ， 因 此 此 部 分 取 值 为 空 ， 而 由 于 后 方 还 有 一 个 ” } ” 符 号 ， 因 此 i p . i p _ c _ c o u n t 的 值 ， 最 终 会 被 赋 予 为 ” } ” 。 如 若 想 解 决 上 述 问 题 ， 则 需 要 对 其 源 代 码 进 行 更 改 ， 可 惜 ， 本 人 不 会 C 语 言 ， 因 此 方 案 1 暂 时 被 毙 。 四 、 方 案 二 四 、 方 案 二 1 . 防 御 思 路 防 御 思 路 该 方 案 防 御 思 路 与 方 案 1 大 体 相 同 ， 但 由 于 受 制 于 M o d S e c u r i t y 自 身 的 机 制 ， 因 此 调 整 规 则 思 路 ， 直 接 对 集 合 中 的 变 量 进 行 循 环 判 断 ， 通 过 遍 历 的 方 式 ， 找 出 当 前 I P 所 处 C 段 对 应 变 量 的 值 ， 然 后 再 进 行 判 断 。 2 . 具 体 规 则 具 体 规 则 3 . 方 案 优 缺 点 方 案 优 缺 点 优 点 ： 仅 通 过 M o d S e c u r i t y 即 可 进 行 防 御 ， 无 需 引 入 第 三 方 插 件 或 工 具 。 缺 点 ： a 、 服 务 器 资 源 消 耗 增 高 。 由 于 是 采 用 遍 历 的 方 式 ， 因 此 每 次 访 问 都 会 对 集 合 中 的 内 容 进 行 遍 历 ， 虽 然 遍 历 的 过 程 放 在 了 p h a s e 5 ， 即 日 志 记 录 阶 段 ， 不 会 影 响 网 站 的 响 应 速 度 ， 但 会 增 加 服 务 器 的 资 源 消 耗 ； b 、 拦 截 的 C 段 ， 该 C 段 下 的 其 他 I P ， 只 有 在 访 问 成 功 一 次 之 后 才 会 拦 截 ， 即 ， 假 设 1 9 2 . 1 6 8 . 1 1 . 2 触 发 拦 截 机 制 ， 导 致 1 9 2 . 1 6 8 . 1 1 段 I P 被 封 ， 但 是 当 1 9 2 . 1 6 8 . 1 1 . 3 访 问 服 务 器 时 ， 第 一 次 访 问 并 不 会 被 拦 截 ， 而 是 从 第 二 次 开 始 访 问 才 会 拦 截 ， 原 因 是 遍 历 的 过 程 放 在 了 日 志 记 录 阶 段 ， 因 此 只 有 访 问 成 功 一 次 ， 进 入 日 志 记 录 阶 段 时 ， 才 会 将 该 C 段 下 的 此 次 访 问 I P 进 行 拦 截 ， 如 果 要 解 决 此 情 况 ， 将 规 则 1 0 0 0 3 的 p h a s e 改 为 1 即 可 ， 但 是 此 举 会 将 遍 历 的 过 程 置 于 网 站 访 问 过 程 中 ， 大 并 发 情 况 下 反 而 可 能 会 影 响 网 站 响 应 速 度 ， 同 时 服 务 器 资 源 消 耗 也 不 会 有 过 多 降 低 ， 得 不 偿 失 。 除 此 之 外 ， 即 便 当 1 9 2 . 1 6 8 . 1 1 . 3 已 经 被 封 ， 但 是 该 I P 更 换 客 户 端 进 行 访 问 时 ， 仍 会 在 访 问 成 功 一 次 后 才 会 拦 截 ， 原 因 是 拦 截 标 志 存 放 于 i p 集 合 中 ， 而 i p 集 合 是 基 于 I P + 客 户 端 创 建 的 ， 因 此 会 导 致 某 一 I P 即 使 已 经 被 封 ， 换 一 个 客 户 端 进 行 访 问 时 ， 会 重 新 生 成 一 个 i p 集 合 ， 而 此 时 该 i p 集 合 中 并 没 有 设 置 拦 截 标 志 ， 依 然 会 访 问 成 功 一 次 。 五 、 方 案 三 五 、 方 案 三 1 . 防 御 思 路 防 御 思 路 该 方 案 是 对 方 案 二 的 改 造 ， 旨 在 减 少 大 并 发 情 况 下 ， 遍 历 导 致 的 服 务 器 资 源 消 耗 增 加 ， 具 体 做 法 为 采 用 M o d S e c u r i t y + L u a + i p s e t + i p t a b l e s ， 在 遍 历 过 程 中 ， 直 接 将 要 拦 截 的 C 段 I P 通 过 i p s e t 进 行 拦 截 ， 然 后 再 将 此 C 段 I P 的 信 息 从 集 合 中 删 除 ， 减 少 遍 历 次 数 ， 以 此 来 达 到 降 低 服 务 器 资 源 消 耗 的 目 的 。 S e c R u l e   G L O B A L : % { i p . i p _ c _ m s g } " @ g e   % { t x . d o s _ c o u n t e r _ t h r e s h o l d } "   " i d : 1 0 0 0 1 , d r o p , l o g , p h a s e : 1 , e x p i r e v a r : g l o b a l . % { i p . i p _ c _ m s g } = % { t x . d o s _ b l o c k _ t i m e o u t } " # 通 过 正 则 获 取 客 户 端 I P 的 C 段 地 址 ， 然 后 在 i p 集 合 中 创 建 名 为 i p _ c _ m s g 的 变 量 ， 将 其 值 设 置 为 I P 的 C 段 地 址 ， 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 i p _ c _ m s g 变 量 的 值 为 " 1 9 2 . 1 6 8 . 1 1 . "   S e c R u l e   R E M O T E _ A D D R   " ^ ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " i d : 1 0 0 0 0 , n o l o g , p a s s , p h a s e : 1 , c a p t u r e , s e t v a r : i p . i p _ c _ m s g = % { T X . 0 } " # 判 断 I P 集 合 中 的 D O S _ B L O C K _ C 的 值 是 否 为 1 , 此 变 量 代 表 该 I P 所 处 C 段 是 否 触 发 了 阈 值 # 1 代 表 触 发 ， 如 果 触 发 ， 则 拦 截 该 I P 下 的 访 问 ， 该 变 量 是 通 过 i d 为 1 0 0 0 3 的 规 则 进 行 赋 值 # 与 此 同 时 ， 设 置 变 量 D O S _ B L O C K _ C _ F L A G ， 用 于 标 志 是 否 已 触 发 过 拦 截 # 0 代 表 未 触 发 ， 1 代 表 触 发 ， 同 时 设 置 变 量 在 % { t x . d o s _ b l o c k _ t i m e o u t } 时 间 后 自 动 销 毁 # 用 于 保 证 在 拦 截 期 间 ， 一 个 I P 地 址 在 封 禁 时 间 内 只 会 记 录 一 次 日 志 ， 避 免 日 志 堆 积 S e c R u l e   I P : D O S _ B L O C K _ C   " @ e q   1 "   " i d : 1 0 0 0 1 , p h a s e : 1 , d r o p , l o g , c h a i n , m s g : ' D e t e c t   D o s   A t t a c k   f r o m   % { i p . i p _ c _ m s g } 0 / 2 4 ' " S e c R u l e   & I P : D O S _ B L O C K _ C _ F L A G   " @ e q   0 "   " s e t v a r : i p . d o s _ b l o c k _ c _ f l a g = 1 , e x p i r e v a r : i p . d o s _ b l o c k _ c _ f l a g = % { t x . d o s _ b l o c k _ t i m e o u t } " # 判 断 I P 集 合 中 的 D O S _ B L O C K _ C 的 值 是 否 为 1 , 此 变 量 代 表 该 I P 所 处 C 段 是 否 触 发 了 阈 值 # 1 代 表 触 发 ， 如 果 触 发 ， 则 拦 截 该 I P 下 的 访 问 ， 该 变 量 是 通 过 i d 为 1 0 0 0 3 的 规 则 进 行 赋 值 # 与 规 则 1 0 0 0 1 互 补 ， 用 于 避 免 日 志 堆 积 S e c R u l e   I P : D O S _ B L O C K _ C   " @ e q   1 "   " i d : 1 0 0 0 4 , p h a s e : 1 , d r o p , n o l o g " # 判 断 此 次 访 问 是 否 是 静 态 资 源 ， 如 果 不 是 的 话 ， 执 行 第 二 条 规 则 # 将 全 局 集 合 中 ， 记 录 该 I P 地 址 所 在 C 段 的 访 问 次 数 + 1 # 同 时 设 置 该 变 量 销 毁 时 间 为 计 数 周 期 % { t x . d o s _ b u r s t _ t i m e _ s l i c e } # 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 g l o b a l 集 合 中 会 创 建 名 为 " i p _ c _ 1 9 2 . 1 6 8 . 1 1 . " 的 变 量 # 同 时 其 数 值 + 1 S e c R u l e   R E Q U E S T _ B A S E N A M E   " . * ? ( . [ a - z 0 - 9 ] { 1 , 1 0 } ) ? $ "   " p h a s e : 5 , i d : 1 0 0 0 2 , t : n o n e , t : l o w e r c a s e , n o l o g , p a s s , c a p t u r e , s e t v a r : t x . e x t e n s i o n = / % { T X . 1 } / , c h a i n " S e c R u l e   T X : E X T E N S I O N   " ! @ w i t h i n   % { t x . s t a t i c _ e x t e n s i o n s } "   " s e t v a r : ' g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = + 1 ' , e x p i r e v a r : g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = % { t x . d o s _ b u r s t _ t i m e _ s l i c e } " # 遍 历 G L O B A L 集 合 中 ， 以 i p _ c 为 开 头 的 所 有 变 量 的 值 ， 如 果 发 现 大 于 设 定 的 阈 值 # 则 通 过 第 二 条 规 则 ， 获 取 出 变 量 名 称 中 的 C 段 名 称 , 然 后 将 对 应 的 i p _ c 变 量 的 销 毁 时 间 ， 改 为 封 禁 时 间 % { t x . d o s _ b l o c k _ t i m e o u t } # 再 通 过 第 三 条 规 则 判 断 是 否 与 当 前 客 户 端 的 C 段 I P 相 同 ， 如 果 相 同 ， 则 设 置 i p . d o s _ b l o c k _ c 变 量 为 1 # 同 时 设 置 i p . d o s _ b l o c k _ c 变 量 销 毁 时 间 为 封 禁 时 间 % { t x . d o s _ b l o c k _ t i m e o u t }   S e c R u l e   G L O B A L : / ^ i p _ c /   " @ g e   % { t x . d o s _ c o u n t e r _ t h r e s h o l d } "   " p h a s e : 5 , i d : 1 0 0 0 3 , p a s s , n o l o g , c h a i n " S e c R u l e   M A T C H E D _ V A R _ N A M E   " ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " c a p t u r e , s e t v a r : t x . e x t e n s i o n = % { T X . 0 } , c h a i n , e x p i r e v a r : g l o b a l . i p _ c _ % { T X . 0 } = % { t x . d o s _ b l o c k _ t i m e o u t } "   S e c R u l e   T X : E X T E N S I O N   " @ s t r e q   % { i p . i p _ c _ m s g } "   " s e t v a r : i p . d o s _ b l o c k _ c = 1 , e x p i r e v a r : i p . d o s _ b l o c k _ c = % { t x . d o s _ b l o c k _ t i m e o u t } "
2 . 具 体 规 则 具 体 规 则 L u a 脚 本 内 容 如 下 ： 使 用 该 方 案 需 要 额 外 安 装 i p s e t - s e r v i c e ， 详 细 教 程 可 参 见 最 后 第 七 章 第 4 小 节 。 由 于 i p s e t 命 令 需 要 调 用 系 统 内 核 ， 因 此 普 通 用 户 无 法 执 行 i p s e t 命 令 ， 因 此 还 需 赋 予 对 应 用 户 相 应 的 r o o t 权 限 ， 操 作 流 程 如 下 所 示 ， 而 具 体 生 产 环 境 中 要 根 据 实 际 的 运 行 用 户 进 行 授 权 ， 如 宝 塔 由 于 设 置 了 W E B 服 务 是 以 w w w 用 户 运 行 ， 因 此 将 下 方 命 令 中 的 d a e m o n 更 换 为 w w w 即 可 ： 3 . 方 案 优 缺 点 方 案 优 缺 点 优 点 ： 降 低 遍 历 过 程 中 导 致 的 服 务 器 资 源 消 耗 增 加 的 情 况 。 缺 点 ： a 、 需 要 额 外 安 装 i p s e t - s e r v i c e ； b 、 需 要 赋 予 相 关 用 户 执 行 i p s e t 的 权 限 ， 该 举 措 可 能 存 在 隐 性 未 知 安 全 风 险 。 六 、 方 案 四 六 、 方 案 四 1 . 防 御 思 路 防 御 思 路 该 方 案 是 对 方 案 三 的 改 造 ， 旨 在 解 决 方 案 三 中 ， 必 须 赋 予 相 关 系 统 账 户 执 行 i p s e t 权 限 所 可 能 带 来 的 未 知 安 全 隐 患 ， 具 体 思 路 为 在 服 务 器 内 额 外 搭 建 一 个 H T T P 服 务 ， 单 独 用 于 执 行 i p s e t 命 令 ， 同 时 通 过 设 置 只 允 许 本 地 访 问 + 密 钥 等 安 全 策 略 ， 确 保 该 服 务 的 安 全 性 。 2 . 具 体 规 则 具 体 规 则 # 通 过 正 则 获 取 客 户 端 I P 的 C 段 地 址 ， 然 后 在 i p 集 合 中 创 建 名 为 i p _ c _ m s g 的 变 量 ， 将 其 值 设 置 为 I P 的 C 段 地 址 ， 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 i p _ c _ m s g 变 量 的 值 为 " 1 9 2 . 1 6 8 . 1 1 . "   S e c R u l e   R E M O T E _ A D D R   " ^ ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " i d : 1 0 0 0 0 , n o l o g , p a s s , p h a s e : 1 , c a p t u r e , s e t v a r : i p . i p _ c _ m s g = % { T X . 0 } " # 判 断 此 次 访 问 是 否 是 静 态 资 源 ， 如 果 不 是 的 话 ， 执 行 第 二 条 规 则 # 将 全 局 集 合 中 ， 记 录 该 I P 地 址 所 在 C 段 的 访 问 次 数 + 1 # 同 时 设 置 该 变 量 销 毁 时 间 为 计 数 周 期 % { t x . d o s _ b u r s t _ t i m e _ s l i c e } # 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 g l o b a l 集 合 中 会 创 建 名 为 " i p _ c _ 1 9 2 . 1 6 8 . 1 1 . " 的 变 量 # 同 时 其 数 值 + 1 S e c R u l e   R E Q U E S T _ B A S E N A M E   " . * ? ( . [ a - z 0 - 9 ] { 1 , 1 0 } ) ? $ "   " p h a s e : 5 , i d : 1 0 0 0 2 , t : n o n e , t : l o w e r c a s e , n o l o g , p a s s , c a p t u r e , s e t v a r : t x . e x t e n s i o n = / % { T X . 1 } / , c h a i n " S e c R u l e   T X : E X T E N S I O N   " ! @ w i t h i n   % { t x . s t a t i c _ e x t e n s i o n s } "   " s e t v a r : ' g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = + 1 ' , e x p i r e v a r : g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = % { t x . d o s _ b u r s t _ t i m e _ s l i c e } " # 遍 历 G L O B A L 集 合 中 ， 以 i p _ c 为 开 头 的 所 有 变 量 的 值 ， 如 果 发 现 大 于 设 定 的 阈 值 # 则 通 过 第 二 条 规 则 ， 获 取 出 变 量 名 称 中 包 含 的 C 段 信 息 后 , 直 接 销 毁 集 合 中 对 应 的 变 量 # 再 通 过 L u a 脚 本 ， 调 用 i p s e t 命 令 ， 将 C 段 I P 地 址 通 过 i p t a b l e s 进 行 封 禁   S e c R u l e   G L O B A L : / ^ i p _ c /   " @ g e   % { t x . d o s _ c o u n t e r _ t h r e s h o l d } "   " p h a s e : 5 , i d : 1 0 0 0 3 , p a s s , l o g , c a p t u r e , m s g : ' D e t e c t   D o s   A t t a c k   f r o m   % { T X . 0 } 0 / 2 4 ' , c h a i n "   S e c R u l e   M A T C H E D _ V A R _ N A M E   " ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " c a p t u r e , s e t v a r : ! g l o b a l . i p _ c _ % { T X . 0 } , e x e c : / t m p / m s _ c _ d o s . l u a " f u n c t i o n   m a i n ( ) l o c a l   i p   =   m . g e t v a r ( " R E M O T E _ A D D R " ) ;   l o c a l   r t =   { } ;   l o c a l   p = ' % . ' ;   s t r i n g . g s u b ( i p ,   ' [ ^ ' . . p . . ' ] + ' ,   f u n c t i o n ( w )   t a b l e . i n s e r t ( r t ,   w )   e n d   ) ;   i f   # r t   = =   4   t h e n   l o c a l   i p _ c = r t [ 1 ] . . " . " . . r t [ 2 ] . . " . " . . r t [ 3 ] . . " . 0 / 2 4 " ;   o s . e x e c u t e ( " s u d o   i p s e t   a d d   l i s t _ c _ d o s   " . . i p _ c ) ;   e n d   r e t u r n   n i l ;   e n d # / e t c / s u d o e r s 默 认 为 只 读 状 态 ， 需 要 先 设 置 为 可 写 c h m o d   6 4 0   / e t c / s u d o e r s # 通 过 v i 进 行 编 辑 v i   / e t c / s u d o e r s # 找 到 r o o t   A L L = ( A L L )   A L L 所 在 ， 在 下 方 添 加 以 下 内 容 d a e m o n         A L L = ( A L L )               N O P A S S W D :   / u s r / s b i n / i p s e t # 将 / e t c / s u d o e r s 重 置 为 只 读 状 态 c h m o d   4 4 0   / e t c / s u d o e r s # 通 过 正 则 获 取 客 户 端 I P 的 C 段 地 址 ， 然 后 在 i p 集 合 中 创 建 名 为 i p _ c _ m s g 的 变 量 ， 将 其 值 设 置 为 I P 的 C 段 地 址 ， 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 i p _ c _ m s g 变 量 的 值 为 " 1 9 2 . 1 6 8 . 1 1 . "   S e c R u l e   R E M O T E _ A D D R   " ^ ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " i d : 1 0 0 0 0 , n o l o g , p a s s , p h a s e : 1 , c a p t u r e , s e t v a r : i p . i p _ c _ m s g = % { T X . 0 } " # 判 断 此 次 访 问 是 否 是 静 态 资 源 ， 如 果 不 是 的 话 ， 执 行 第 二 条 规 则 # 将 全 局 集 合 中 ， 记 录 该 I P 地 址 所 在 C 段 的 访 问 次 数 + 1 # 同 时 设 置 该 变 量 销 毁 时 间 为 计 数 周 期 % { t x . d o s _ b u r s t _ t i m e _ s l i c e } # 如 ， 客 户 端 I P 为 1 9 2 . 1 6 8 . 1 1 . 2 ， 则 g l o b a l 集 合 中 会 创 建 名 为 " i p _ c _ 1 9 2 . 1 6 8 . 1 1 . " 的 变 量 # 同 时 其 数 值 + 1 S e c R u l e   R E Q U E S T _ B A S E N A M E   " . * ? ( . [ a - z 0 - 9 ] { 1 , 1 0 } ) ? $ "   " p h a s e : 5 , i d : 1 0 0 0 2 , t : n o n e , t : l o w e r c a s e , n o l o g , p a s s , c a p t u r e , s e t v a r : t x . e x t e n s i o n = / % { T X . 1 } / , c h a i n " S e c R u l e   T X : E X T E N S I O N   " ! @ w i t h i n   % { t x . s t a t i c _ e x t e n s i o n s } "   " s e t v a r : ' g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = + 1 ' , e x p i r e v a r : g l o b a l . i p _ c _ % { i p . i p _ c _ m s g } = % { t x . d o s _ b u r s t _ t i m e _ s l i c e } " # 遍 历 G L O B A L 集 合 中 ， 以 i p _ c 为 开 头 的 所 有 变 量 的 值 ， 如 果 发 现 大 于 设 定 的 阈 值 # 则 通 过 第 二 条 规 则 ， 获 取 出 变 量 名 称 中 包 含 的 C 段 信 息 后 , 直 接 销 毁 集 合 中 对 应 的 变 量
L u a 脚 本 内 容 如 下 ： 使 用 该 方 案 需 要 额 外 安 装 i p s e t - s e r v i c e ， 详 细 教 程 可 参 见 最 后 第 七 章 第 4 小 节 。 3 . 方 案 优 缺 点 方 案 优 缺 点 优 点 ： a 、 安 全 性 较 方 案 三 略 微 提 高 ； b 、 可 在 额 外 搭 建 的 H T T P 服 务 中 开 发 新 的 功 能 便 于 日 常 维 护 操 作 ， 如 在 H T T P 服 务 中 开 发 封 禁 I P 的 记 录 、 查 询 、 解 封 等 功 能 ， 避 免 每 次 操 作 均 需 登 录 服 务 器 。 缺 点 ： 需 要 开 发 额 外 的 H T T P 服 务 。 七 、 其 他 补 充 七 、 其 他 补 充 1 . 上 述 方 案 中 的 具 体 规 则 ， 建 议 放 置 在 O W A S P 规 则 中 R E Q U E S T - 9 0 1 - I N I T I A L I Z A T I O N . c o n f 文 件 的 末 尾 ； 2 . 上 述 方 案 中 的 具 体 规 则 ， 如 I D 与 现 有 规 则 的 I D 冲 突 ， 自 行 修 改 即 可 ； 3 . c r s - s e t u p . c o n f 文 件 中 S e c C o l l e c t i o n T i m e o u t 参 数 的 值 ， 需 大 于 等 于 t x . d o s _ b l o c k _ t i m e o u t 参 数 的 值 ; 4 . 方 案 三 与 方 案 四 需 要 安 装 与 配 置 i p s e t - s e r v i c e ， 教 程 如 下 ： 5 . 上 述 所 有 方 案 均 不 适 用 于 M o d S e c u r i t y   V 3 以 上 版 本 。 受 限 于 M o d S e c u r i t y 团 队 的 开 发 规 划 ， 上 述 方 案 规 则 中 使 用 的 部 分 指 令 在 M o d S e c u r i t y   V 3 以 上 版 本 中 暂 不 支 持 ， 如 e x p i r e v a r ， 该 指 令 将 变 量 配 置 为 在 指 定 时 间 段 （ 以 秒 为 单 位 ） 后 销 毁 ， 如 上 述 规 则 中 ， 设 定 是 6 0 秒 内 访 问 次 数 达 到 1 0 0 则 封 禁 对 应 的 C 段 I P ， 而 6 0 秒 的 这 个 时 间 限 制 是 通 过 e x p i r e v a r 进 行 设 置 ， 但 由 于 此 指 令 在 V 3 以 上 版 本 中 暂 不 支 持 ， 因 此 最 终 的 结 果 是 ， I P 地 址 的 访 问 次 数 将 永 久 保 存 在 内 存 中 ， 一 直 进 行 累 加 操 作 且 永 不 过 期 ， 而 一 旦 总 访 问 次 数 超 过 1 0 0 ， I P 也 会 被 永 久 封 禁 ， 无 法 达 到 封 禁 指 定 时 间 的 目 的 ， 最 终 则 会 形 成 所 有 I P 均 会 被 拦 截 的 情 况 ， 除 非 重 启 或 重 载 W E B 服 务 。 精 彩 推 荐 精 彩 推 荐 # 则 通 过 第 二 条 规 则 ， 获 取 出 变 量 名 称 中 包 含 的 C 段 信 息 后 , 直 接 销 毁 集 合 中 对 应 的 变 量 # 再 通 过 L u a 脚 本 ， 访 问 H T T P 服 务 ， 令 其 调 用 i p s e t 命 令 ， 将 C 段 I P 地 址 通 过 i p t a b l e s 进 行 封 禁   S e c R u l e   G L O B A L : / ^ i p _ c /   " @ g e   % { t x . d o s _ c o u n t e r _ t h r e s h o l d } "   " p h a s e : 5 , i d : 1 0 0 0 3 , p a s s , l o g , c a p t u r e , m s g : ' D e t e c t   D o s   A t t a c k   f r o m   % { T X . 0 } 0 / 2 4 ' , c h a i n "   S e c R u l e   M A T C H E D _ V A R _ N A M E   " ( ( 2 5 [ 0 - 5 ] | 2 [ 0 - 4 ] d | [ 0 1 ] ? d d ? ) . ) { 3 } "   " c a p t u r e , s e t v a r : ! g l o b a l . i p _ c _ % { T X . 0 } , e x e c : / t m p / m s _ c _ d o s . l u a " f u n c t i o n   m a i n ( ) l o c a l   i p   =   m . g e t v a r ( " R E M O T E _ A D D R " ) ;   l o c a l   r t =   { } ;   l o c a l   p = ' % . ' ;   s t r i n g . g s u b ( i p ,   ' [ ^ ' . . p . . ' ] + ' ,   f u n c t i o n ( w )   t a b l e . i n s e r t ( r t ,   w )   e n d   ) ;   i f   # r t   = =   4   t h e n   l o c a l   i p _ c = r t [ 1 ] . . " . " . . r t [ 2 ] . . " . " . . r t [ 3 ] . . " . 0 / 2 4 " ;   o s . e x e c u t e ( " c u r l   h t t p : / / l o c a l h o s t : 端 口 / f o r b i d d e n . p h p ? i p _ c = " . . i p _ c . . " & a u t h = 1 2 3 4 5 6 " ) ;   e n d   r e t u r n   n i l ;   e n d # 安 装 i p s e t 服 务 y u m   i n s t a l l   i p s e t - s e r v i c e # 设 置 开 启 自 动 启 动 s y s t e m c t l   e n a b l e   i p s e t # 添 加 名 称 为 l i s t _ c _ d o s 的 集 合 ， 用 于 保 存 封 禁 的 I P ， 同 时 设 置 封 禁 时 间 为 3 6 0 0 秒 , 封 禁 时 间 可 按 需 更 改 i p s e t   c r e a t e   l i s t _ c _ d o s   h a s h : i p   t i m e o u t   3 6 0 0 # 保 存 i p s e t 配 置 ， 避 免 重 启 后 l i s t _ c _ d o s 集 合 自 i p s e t 中 丢 失 s e r v i c e   i p s e t   s a v e # 将 以 下 内 容 复 制 到 / e t c / s y s c o n f i g / i p t a b l e s ， 禁 止 集 合 内 的 I P 访 问 8 0 端 口   - A   I N P U T   - m   s e t   - - m a t c h - s e t   l i s t _ c _ d o s   s r c   - p   t c p   - - d p o r t   8 0   - j   D R O P # 重 启 i p t a b l e s s e r v i c e   i p t a b l e s   r e s t a r t # 向 l i s t _ c _ d o s 集 合 中 添 加 I P 的 命 令 d e m o # i p s e t   a d d   l i s t _ c _ d o s   1 9 2 . 1 6 8 . 1 4 2 . 0 / 2 4
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理