玩转系统|长亭雷池WAF详细使用教程——深入了解

news2024/11/16 17:33:15

目录

配置防护站点

界面操作​

如何配置域名、端口、上游服务器​

工作原理​

在单独设备上部署雷池（推荐）​

直接在网站服务器上部署雷池​

和其他反代设备一起部署的情况​

配置后网站无法访问，如何排查​

测试防护效果

确认网站可以正常访问​

尝试手动模拟攻击​

自动化测试防护效果​

下载测试工具​

准备测试样本​

开始测试​

测试效果展示​

升级雷池

在线升级​

离线镜像​

上节我们降了WAF的注册和登录，现在我们继续深入了解。

配置防护站点

界面操作​

config_site.gif

添加后，在客户端执行 curl -H "Host: <域名>" http://<雷池 IP>:<雷池监听端口> ，若能获取到业务网站的响应，并且站点上 “今日访问量” 增加，则代表配置成功。

如何配置域名、端口、上游服务器​

工作原理​

雷池社区版主要以 反向代理 的方式工作，类似于一台 nginx 服务。部署时，需要让网站流量先抵达雷池，经过雷池检测和过滤后，再转给原来的网站业务。

如果你不了解反向代理的工作原理，可以通过以下几种雷池常见的工作场景，来了解如何配置站点。

假设你的网站域名为 example.com，如图：

Alt text

在单独设备上部署雷池（推荐）​

如果你可以提供一台独立设备部署雷池，那么你需要：

  1. 将网站流量指向雷池。例如将域名解析到雷池
  2. 禁止网站服务器上，所有除了雷池之外的访问。例如配置防火墙，或者直接把网站服务器放到内网

效果大致如下：

Alt text

雷池上相应的站点配置为：

  • 域名：公网域名 example.com
  • 端口：80 或 443/ssl
  • 上游服务器：网站服务器的地址 http://192.168.10.10

直接在网站服务器上部署雷池​

提示：不建议这样部署，因为这样单机的负载更高、设备宕机的概率更大。非纯净的环境还会提高安装失败的概率，故障排查也会比较困难。

如果能接受这些风险，雷池也可以直接部署在网站服务器上。你需要：

  1. 将原本监听 80 或 443/ssl 端口的网站服务改到其他端口，让雷池监听设备的 80 或 443/ssl 端口
  2. 使网站服务仅允许本机访问。例如配置系统防火墙、Iptables

效果大致如图：

Alt text

此时雷池上的站点配置为：

  • 域名：公网域名 example.com
  • 端口：80 或 443/ssl
  • 上游服务器：http://127.0.0.1:<网站服务改后的端口>

和其他反代设备一起部署的情况​

雷池作为反代设备，可以在任意位置接入主链路。只要将接入位置的流量指向雷池，并在雷池的 “上游服务器” 处填写请求的下一跳服务器地址即可。例如：

Alt text

配置后网站无法访问，如何排查​

如果按照上文指引部署雷池、配置了站点，但网站仍无法访问，建议按照以下步骤排查：

  1. 明确 “网站无法访问” 的具体表现：

    • 如果 502 Bad Gateway tengine：

      Alt text

      大概率是是雷池的上游服务器配置不正确，或者雷池无法访问到上游服务器。请继续按下面步骤排查，重点排查步骤 6、7

    • 如果请求能够返回但是十分缓慢

      • 首先确认服务器负载是否正常
      • 在客户端执行命令，检查雷池服务器与上游服务器的网络：curl -H "Host: <SafeLine-IP>" -vv -o /dev/null -s -w 'time_namelookup: %{time_namelookup}\ntime_connect: %{time_connect}\ntime_starttransfer: %{time_starttransfer}\ntime_total: %{time_total}\n' http://<上游服务器地址>
        • 如果 time_namelookup 时间过大，请检查 dns server 配置
        • 如果 time_connect 时间过大，请检查雷池与上游服务器之间的网络状态
        • 如果 time_starttransfer 时间过大，请检查上游服务器状态，是否出现资源过载情况

    • 如果不是以上情况，继续下一步

  2. 在客户端执行 curl -H "Host: <域名>" http://<雷池 IP>:<雷池监听端口> 。正常情况下，应能获取到业务网站的响应，并且站点的 “今日访问量” +1

    • 如果浏览器无法访问，但这一步正常获取到响应，大概率是因为：
      • 测试过程中，网站域名还没有切到雷池，浏览器测试时访问的是 http(s)://<雷池 IP>，恰好业务服务上有 Host 验证，所以拒绝了该请求。这种情况需要修改本机 host，把域名解析到雷池 IP，再访问 http(s)://<域名>，才能准确测试
      • 网站业务做了其他一些特殊处理。例如访问后 301 跳转到了其他地址，需要具体排查网站业务的响应内容
    • 如果不能获取到响应，继续下一步

  3. 在雷池设备上执行 curl -H "Host: <域名>" http://<雷池 IP>:<雷池监听端口>。正常情况下，应能获取到业务网站的响应，并且站点上 “今日访问量” +1

    • 如果步骤 2 失败而这里成功，说明客户端到雷池之间的网络存在问题。请排查网络，保证客户端可访问到雷池
    • 如果不能获取到响应，继续下一步

  4. 在雷池设备上执行 curl -H "Host: <域名>" http://127.0.0.1:<雷池监听端口>。正常情况下，应能获取到业务网站的响应，并且站点的 “今日访问量” +1

    • 如果步骤 3 失败而这里成功，且 telnet <雷池 IP> <雷池监听端口> 返回 Unable to connect to remote host: Connection refused，大概率是被雷池设备上的防火墙拦截了。可能是操作系统本身的防火墙，还有可能是云服务商的防火墙。请根据实际情况逐项排查，开放雷池监听端口的访问
    • 如果不能获取到响应，继续下一步

  5. 在雷池设备上执行 netstat -anp | grep <雷池监听端口> 确认端口监听情况。正常情况下，应该有一个 nginx 进程监听在 0.0.0.0:<雷池监听端口>。没有的话请通过社群或者 Github issue 提交反馈，附上排查过程。有的话继续下一步

  6. 在雷池设备上 curl -H "Host: <域名>" <上游服务器地址>。正常情况下，应能获取到业务网站的响应

    • 如果步骤 4 失败而这里成功，请通过社群或者 Github issue 提交反馈，附上排查过程
    • 如果这步失败，说明雷池和上游服务器之间的网络存在问题。请排查网络，确保雷池可以访问到上游服务器

测试防护效果

确认网站可以正常访问​

根据雷池 WAF 配置的网站参数访问你的网站。

打开浏览器访问 http://<IP或域名>:<端口>/。

网站协议默认是 http，勾选 ssl 则为 https
主机名可以是雷池的 IP，也可以是网站的域名（确保域名已经解析到雷池）
端口是你在雷池页面中配置的网站端口

若网站访问不正常，请参考 网站无法访问。

尝试手动模拟攻击​

打开浏览器，访问以下地址即可模拟出对应的攻击：

  • 模拟 SQL 注入，请访问 http://<IP或域名>:<端口>/?id=1%20AND%201=1
  • 模拟 XSS，请访问 http://<IP或域名>:<端口>/?html=<script>alert(1)</script>

通过浏览器，你将会看到雷池已经发现并阻断了攻击请求。

若请求没有被阻断，请参考 防护不生效

自动化测试防护效果​

两条请求当然无法完整的测试雷池的防护效果，可以使用 blazehttp 自动化工具进行批量测试

下载测试工具​
  • Windows 版本
  • Mac 版本(x64)
  • Mac 版本(M1)
  • Linux 版本(x64)
  • Linux 版本(ARM)
  • 源码仓库
准备测试样本​
  • 测试样本

下载请求样本后解压到 testcases 目录

开始测试​
  1. 将测试工具 blazehttp 和测试样本 testcases 放在同一个目录下
  2. 进入对应的目录
  3. 使用以下请求开始测试
./blazehttp -t http://<IP或域名>:<端口>

测试效果展示​
# 测试请求
.//blazehttp -t http://127.0.0.1:8008
sending 100% |█████████████████████████████████████████████████████████| (33669/33669, 940 it/s) [35s:0s]
总样本数量: 33669    成功: 33669    错误: 0
检出率: 71.65% (恶意样本总数: 575 , 正确拦截: 412 , 漏报放行: 163)
误报率: 0.07% (正常样本总数: 33094 , 正确放行: 33071 , 误报拦截: 23)
准确率: 99.45% (正确拦截 + 正确放行）/样本总数
平均耗时: 1.00毫秒

升级雷池

注意: 升级雷池时服务会重启，流量会中断一小段时间，根据业务情况选择合适的时间来执行升级操作。

在线升级​

执行以下命令即可进行升级。

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/upgrade.sh)"

[可选] 升级成功后，可以执行以下命令删除旧版本 Docke 镜像，以释放磁盘空间。

docker rmi $(docker images | grep "safeline" | grep "none" | awk '{print $3}')

有部分环境的默认 SafeLine 安装路径是在 /data/safeline-ce，安装之后可能会发现需要重新绑定 OTP、配置丢失等情况，可以修改 .env 的 SAFELINE_DIR 变量，指向 /data/safeline-ce

离线镜像​

适用于 docker hub 拉取镜像失败的场景，手动更新镜像。

# cd /path/to/safeline

mv compose.yaml compose.yaml.old
wget "https://waf-ce.chaitin.cn/release/latest/compose.yaml" --no-check-certificate -O compose.yaml

wget "https://waf-ce.chaitin.cn/release/latest/seccomp.json" --no-check-certificate -O seccomp.json

sed -i "s/IMAGE_TAG=.*/IMAGE_TAG=latest/g" ".env"

grep "SAFELINE_DIR" ".env" > /dev/null || echo "SAFELINE_DIR=$(pwd)" >> ".env"
grep "IMAGE_TAG" ".env" > /dev/null || echo "IMAGE_TAG=latest" >> ".env"
grep "MGT_PORT" ".env" > /dev/null || echo "MGT_PORT=9443" >> ".env"
grep "POSTGRES_PASSWORD" ".env" > /dev/null || echo "POSTGRES_PASSWORD=$(LC_ALL=C tr -dc A-Za-z0-9 </dev/urandom | head -c 32)" >> ".env"
grep "REDIS_PASSWORD" ".env" > /dev/null || echo "REDIS_PASSWORD=$(LC_ALL=C tr -dc A-Za-z0-9 </dev/urandom | head -c 32)" >> ".env"
grep "SUBNET_PREFIX" ".env" > /dev/null || echo "SUBNET_PREFIX=172.22.222" >> ".env"

下载 雷池社区版镜像包 并传输到需要安装雷池的服务器上，执行以下命令加载镜像

docker load -i image.tar.gz

执行以下命令替换 Docker 容器

docker compose down
docker compose up -d

OK，你已经完成了升级

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1235590.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

深度学习动物识别 - 卷积神经网络 机器视觉 图像识别 计算机竞赛

深度学习动物识别 - 卷积神经网络 机器视觉 图像识别 计算机竞赛

文章目录 0 前言1 背景2 算法原理2.1 动物识别方法概况2.2 常用的网络模型2.2.1 B-CNN2.2.2 SSD 3 SSD动物目标检测流程4 实现效果5 部分相关代码5.1 数据预处理5.2 构建卷积神经网络5.3 tensorflow计算图可视化5.4 网络模型训练5.5 对猫狗图像进行2分类 6 最后 0 前言 &#…
阅读更多...
imx VPU解码分析4-wrap与hantro的关系

imx VPU解码分析4-wrap与hantro的关系

前面已经分析了wrap和hantro&#xff0c;但是二者是如何结合的&#xff0c;wrap是如何封装hantro的&#xff0c;提供了哪些接口&#xff0c;封装了哪些细节还不太清楚&#xff0c;此文来探究下。这里还是只关注解码。 imx VPU解码分析1-wrap-CSDN博客 imx VPU解码分析2-hantr…
阅读更多...
HarmonyOS ArkTSTabs组件的使用（六）

HarmonyOS ArkTSTabs组件的使用（六）

Tabs组件的使用 ArkUI开发框架提供了一种页签容器组件Tabs&#xff0c;开发者通过Tabs组件可以很容易的实现内容视图的切换。页签容器Tabs的形式多种多样&#xff0c;不同的页面设计页签不一样&#xff0c;可以把页签设置在底部、顶部或者侧边。 Tabs组件的简单使用 Tabs组件…
阅读更多...
mac添加Chrome插件的方法

mac添加Chrome插件的方法

如果是.crx的插件 更改后缀crx为zip 后续步骤同下文.zip文件 如果是.zip的插件 使用终端进行解压 注意不要用解压工具解压&#xff0c;一定要用终端&#xff0c;命令行解压 // 进入到“插件名.zip”文件的目录下&#xff0c;输入下面命令&#xff1a; unzip 插件名.zip -…
阅读更多...
【项目管理】甘特图（2）——甘特图教程

【项目管理】甘特图（2）——甘特图教程

哈喽啊&#xff0c;你好&#xff0c;我是雷工。 通过上节初步认识了甘特图&#xff0c;本节学习如何一步步创建甘特图&#xff0c;以下为学习笔记。 一、样例展示 下边记录创建甘特图的操作步骤&#xff0c;完成的实际效果如下图所示&#xff1a; 实例图的上端展示项目的重要…
阅读更多...
mysql 查询

mysql 查询

-- 多表查询select * from tb_dept,tb_emp; 内来链接 -- 内连接 -- A 查询员工的姓名 &#xff0c; 及所属的部门名称 &#xff08;隐式内连接实现&#xff09;select tb_emp.name,tb_dept.name from tb_emp,tb_dept where tb_emp.idtb_emp.id;-- 推荐使用select a.name,b.n…
阅读更多...
树与二叉树堆：堆

树与二叉树堆：堆

堆的概念&#xff1a; 一般是把数组的数据在逻辑结构上看成一颗完全二叉树&#xff0c;如下图所示。 注意&#xff1a;别将C语言中的堆和数据结构的堆混为一谈&#xff0c;本文所讲的数据结构的堆是一种完全二叉树&#xff0c;而C语言中的堆其实是一种内存区域的划分 堆的分类…
阅读更多...
OpenShift 4 - 部署 RHODS 环境，运行 AI/ML 应用（视频）

OpenShift 4 - 部署 RHODS 环境，运行 AI/ML 应用（视频）

《OpenShift / RHEL / DevSecOps 汇总目录》 说明&#xff1a;本文已经在 OpenShift 4.14 RHODS 1.33 的环境中验证 文章目录 RHODS 简介安装 RHODS 环境运行环境说明用 RHODS Operator 安装环境创建 Jupyter Notebook 运行环境 开发调式 AI/ML 应用部署运行 AI/ML 应用视频参…
阅读更多...
第十一章 目标检测中的NMS(工具)

第十一章 目标检测中的NMS(工具)

精度提升 众所周知&#xff0c;非极大值抑制NMS是目标检测常用的后处理算法&#xff0c;用于剔除冗余检测框&#xff0c;本文将对可以提升精度的各种NMS方法及其变体进行阶段性总结。 总体概要&#xff1a; 对NMS进行分类&#xff0c;大致可分为以下六种&#xff0c;这里是依…
阅读更多...
OSG文字-各种文字效果(边框、阴影及颜色倾斜)示例（2）

OSG文字-各种文字效果(边框、阴影及颜色倾斜)示例（2）

各种文字效果(边框、阴影及颜色倾斜)示例 各种文字效果(边框、阴影及颜色倾斜)示例的代码如程序清单9-2所示&#xff1a; 1. /* 各种文字效果(边框、阴影及颜色倾斜)示例 */ 2. osg::ref_ptr<osg::Camera> createAllKindText(const string &strDataFolder) 3. {…
阅读更多...
火狐挂代理访问问题Software is preventing Firefox from safely connecting to this site

火狐挂代理访问问题Software is preventing Firefox from safely connecting to this site

1、报错 Software is preventing Firefox from safely connecting to this site2、解决步骤 火狐浏览器访问http://burp&#xff0c;右上角有下载按钮下载下来证书文件 在 Firefox 中设置证书颁发机构 (CA) 验证
阅读更多...
【在飞书捷径中用HTTP请求】

【在飞书捷径中用HTTP请求】

在飞书捷径的请求体中的变量&#xff0c;注意外面要有个双引号。
阅读更多...
直播岗位认知篇

直播岗位认知篇

一、直播岗位概述 直播岗位&#xff0c;也称为直播主播或直播运营&#xff0c;是指在互联网直播平台上进行直播活动的工作岗位。该岗位的主要职责是通过直播形式&#xff0c;向观众展示自己的才艺、分享生活、销售产品或服务&#xff0c;并引导观众互动和参与。直播主播需要具…
阅读更多...
渲染器——双端Diff算法

渲染器——双端Diff算法

简单 Diff 算法利用虚拟节点的 key 属性&#xff0c;尽可能地复用 DOM 元素&#xff0c;并通过移动 DOM 的方式来完成更新&#xff0c;从而减少不断地创建和销毁DOM 元素带来的性能开销。但是&#xff0c;简单 Diff 算法仍然存在很多缺陷&#xff0c;这些缺陷可以通过双端 Diff…
阅读更多...
GPU Microarch 学习笔记【3】Tensor Core

GPU Microarch 学习笔记【3】Tensor Core

目录 1. 指令与架构 2. Load 3. 计算MMA 4. Set, Step 与thread group 5. OCTET 6. Tensor Core微架构 7. Final Nvidia自从Volta/Turing&#xff08;2018&#xff09;架构开始&#xff0c;在stream multi processor中加入了tensor core&#xff0c;用于加速矩阵计算。如…
阅读更多...
c语言上机作业：迭代法求平方根

c语言上机作业：迭代法求平方根

1.题目 设计一个函数func用迭代法编程求一个数的平方根。平方根的迭代公式为&#xff1a;牛顿迭代法&#xff0c;(要求前后两次迭代值求差的绝对值小于10的-9次方) 2.思路 a.这里要求我们设置一个函数能够完成牛顿迭代法&#xff0c;这里需要使用到函数迭代的知识&#xff0…
阅读更多...
【Java 进阶篇】揭秘 Jackson：Java 对象转 JSON 注解的魔法

【Java 进阶篇】揭秘 Jackson：Java 对象转 JSON 注解的魔法

嗨&#xff0c;亲爱的同学们&#xff01;欢迎来到这篇关于 Jackson JSON 解析器中 Java 对象转 JSON 注解的详细解析指南。JSON&#xff08;JavaScript Object Notation&#xff09;是一种常用于数据交换的轻量级数据格式&#xff0c;而 Jackson 作为一款优秀的 JSON 解析库&am…
阅读更多...
基于SSM的社区生鲜商城的设计与实现

基于SSM的社区生鲜商城的设计与实现

末尾获取源码 开发语言&#xff1a;Java Java开发工具&#xff1a;JDK1.8 后端框架&#xff1a;SSM 前端&#xff1a;采用JSP技术开发 数据库&#xff1a;MySQL5.7和Navicat管理工具结合 服务器&#xff1a;Tomcat8.5 开发软件&#xff1a;IDEA / Eclipse 是否Maven项目&#x…
阅读更多...
OpenAI 超 700 名员工联名逼宫董事会；ChatGPT 新功能“阅后即焚”丨 RTE 开发者日报 Vol.89

OpenAI 超 700 名员工联名逼宫董事会；ChatGPT 新功能“阅后即焚”丨 RTE 开发者日报 Vol.89

开发者朋友们大家好&#xff1a; 这里是 「RTE 开发者日报」 &#xff0c;每天和大家一起看新闻、聊八卦。我们的社区编辑团队会整理分享 RTE &#xff08;Real Time Engagement&#xff09; 领域内「有话题的 新闻 」、「有态度的 观点 」、「有意思的 数据 」、「有思考的 文…
阅读更多...
相对定位、绝对定位、固定定位、绝对定位堆叠顺序

相对定位、绝对定位、固定定位、绝对定位堆叠顺序

相对定位&#xff1a;相对自己本身进行偏移 CSS语法&#xff1a; position: relative;/*相对自己进行定位*/ top: 10px;/*距离上边*/ left: 10px;/*距离左边*/ 演示图&#xff1a; 绝对定位&#xff1a;默认以浏览器进行定位。如果想依照父盒子定位&#xff0c;需要在父盒子…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023