利用京东云Web应用防火墙实现Web入侵防护-低调大师

利用京东云Web应用防火墙实现Web入侵防护

2022-09-08 356

摘要

本指南描述如何利用京东云Web应用防火墙（简称WAF），对一个简单的网站（无论运行在京东云、其它公有云或者IDC)进行Web完全防护的全过程。该指南包括如下内容：

1 准备环境

1.1 在京东云上准备Web网站

1.2 购买京东云Web应用防火墙实例

2 配置Web应用防火墙

2.1 增加Web应用防火墙实例的网站配置

2.2 在云平台放行WAF回源IP

2.3 本地验证配置

2.4 修改域名解析配置

3 测试Web防护效果

3.1 发起正常访问

3.2 发起异常攻击

3.3 分析安全报表

4 环境清理

1 准备环境

1 .1 在京东云上准备Web网站

在京东云上选择CentOS系统创建一台云主机，分配公网IP，安装Nginx，并在域名解析服务上配置域名和IP的映射。具体的Web应用信息如下：

# 操作系统信息
[root@waf-demo ~]# cat /etc/redhat-release 
CentOS Linux release 7.6.1810 (Core) 

# 安装dig命令，该命令可显示域名的解析情况
bash
[root@waf-demo ~]#  yum install bind-utils -y
[root@waf-demo ~]# dig -v
DiG 9.9.4-RedHat-9.9.4-72.el7

# Nginx服务信息
[root@waf-demo ~]# service nginx status
Redirecting to /bin/systemctl status nginx.service
● nginx.service - The nginx HTTP and reverse proxy server
   Loaded: loaded (/usr/lib/systemd/system/nginx.service; enabled; vendor preset: disabled)
...

在配置完域名和公网IP映射后，通过dig命令可获得域名解析情况。

[root@waf-demo ~]$ dig waf-demo.jdcoe.top +trace
...
waf-demo.jdcoe.top.    60  IN  A   114.67.85.98
;; Received 63 bytes from 153.99.179.161#53(ns2.jdgslb.com) in 13 ms

通过互联网远程访问该Web网站。

MacBook:~ user001$ curl http://waf-demo.jdcoe.top -I
HTTP/1.1 200 OK
Server: nginx/1.12.2
Date: Mon, 24 Dec 2018 03:22:21 GMT
Content-Type: text/html
Content-Length: 3700
Last-Modified: Tue, 06 Mar 2018 09:26:21 GMT
Connection: keep-alive
ETag: "5a9e5ebd-e74"
Accept-Ranges: bytes

1.2 购买京东云Web应用防火墙实例

进入京东云控制台，点击云安全, Web应用防火墙, 套餐购买, 进入"Web应用防火墙 - 购买“界面，选择需要企业版套餐（每种套餐规格请参考套餐详情）。具体的购买界面如下图：

在购买完成后，将在实例管理界面中看到所购买的实例信息。

2 配置Web应用防火墙

在使用京东云Web应用防火墙保护网站前，需要完成下列配置，才能实现用户提交的HTTP/HTTPS访问请求通过Web应用防火墙检测后，再发送到Web网站。

2.1 配置Web应用防火墙实例的防护网站

在Web应用防火墙界面，点击网站配置，添加网站, 在下面界面中输入相关配置信息。

界面参数具体描述如下：

域名：输入需要保护的网站的域名；

协议：缺省选择HTTP，如果网站支持HTTPS，则选择HTTPS，并选择SSL证书；
服务器地址：网站的IP;
服务器端口：网站的访问端口；
是否已使用代理：缺省选择"否"，但如果网站还使用了IP高防服务，也就是访问请求来自于IP高防，则应选择“是";
负载均衡算法：当配置多个源站IP，WAF在将过滤后的访问请求回源时，将按照IP Hash或轮询的方式去做负载均衡。

新创建的网站配置的防护设置是处于关闭状态，需要点击防护配置链接进入配置界面。

在网站防护配置界面中，设置Web应用攻击防护状态为On模式为防护，防护规则策略等级为严格。设置CC安全防护状态为On，模式为正常。

2.2 本地验证配置

在网站配置列表界面中，能获得为被防护网站生成的CNAME。针对域名“waf-demo.jdcoe.top"，生成的WAF CNAME是waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com.

通过执行ping命令，能获得Web应用防火墙的IP地址为101.124.23.163。

MacBook:etc user001$ ping waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com
PING waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com (101.124.23.163): 56 data bytes
64 bytes from 101.124.23.163: icmp_seq=0 ttl=49 time=57.525 ms
^C
--- waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com ping statistics ---
1 packets transmitted, 1 packets received, 0.0% packet loss
round-trip min/avg/max/stddev = 57.525/57.525/57.525/0.000 ms

应用安全网站不允许通过生成的CNAME或者IP地址进行访问，如果直接访问，将报“Bad Request“错误。

MacBook:etc user001$ curl waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com
<h1> Bad Request </h1>MacBook:etc user001$ 
MacBook:etc user001$ curl 101.124.23.163
<h1> Bad Request </h1>MacBook:etc user001$

修改本机IP地址101.124.23.163和域名waf-demo.jdcoe.top的映射，在Linux下，域名配置文件为/etc/hosts。

1101.124.23.163 waf-demo.jdcoe.top

然后在本地执行如下命令“curl waf-demo.jdcoe.top -I”，将在显示Server是jfe，表明已经通过Web应用防火墙。

MacBook:~ user001$ curl waf-demo.jdcoe.top -I
HTTP/1.1 200 OK
Server: jfe
Date: Mon, 24 Dec 2018 07:12:03 GMT
Content-Type: text/html
Content-Length: 3700
Connection: keep-alive
Last-Modified: Tue, 06 Mar 2018 09:26:21 GMT
ETag: "5a9e5ebd-e74"
Accept-Ranges: bytes

此时，看Web的访问日志，将看到如下信息，表明请求已经通过Web应用防火墙，然后转发到Web源站。

1101.124.23.116 - - [24/Dec/2018:15:12:04 +0800] "HEAD / HTTP/1.0" 200 0 "-" "curl/7.54.0" "117.136.0.210"

2.3 在云平台放行WAF回源IP

在对源站配置了WAF服务后，源站原则上只能接收来自WAF的转发请求。网站云主机最初的安全组配置如下，这样任何客户端都可以直接访问Web网站。

通过curl命令能直接访问Web网站。

MacBook:~ user001$ curl 114.67.85.98 -I
HTTP/1.1 200 OK
Server: nginx/1.12.2
Date: Mon, 24 Dec 2018 07:20:08 GMT
Content-Type: text/html
Content-Length: 3700
Last-Modified: Tue, 06 Mar 2018 09:26:21 GMT
Connection: keep-alive
ETag: "5a9e5ebd-e74"
Accept-Ranges: bytes

京东云WAF服务所采用的IP地址为如下：

101.124.31.248/30
101.124.23.116/30
14.116.246.0/29
103.40.15.0/29

因此需要在安全组中删除允许所有源IP都可访问Web网站的规则，并增加允许上述地址段可以访问Web网站的规则。修改后的安全组配置信息如下图：

这样Web网站将只接收来自WAF的请求，而不能直接访问。

# 不能直接访问源站
MacBook:~ user001$ curl 114.67.85.98 -I
 ^C
 # 可以通过WAF服务访问源站
MacBook:~ user001$ curl waf-demo.jdcoe.top -I
HTTP/1.1 200 OK
Server: jfe
Date: Mon, 24 Dec 2018 07:52:19 GMT
Content-Type: text/html
Content-Length: 3700
Connection: keep-alive
Last-Modified: Tue, 06 Mar 2018 09:26:21 GMT
ETag: "5a9e5ebd-e74"
Accept-Ranges: bytes

2.4 修改域名解析配置

最后，需要在域名解析上修改原域名的解析规则，下面是京东云的云解析为例，配置域名waf-demo.jdcoe.top的CNAME为waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com。

最后删除本机域名和IP地址的静态映射，然后执行dig命令，将看到为域名waf-demo.jdcoe.top配置的CNAME。

[root@waf-demo ~]# dig waf-demo.jdcoe.top +trace
...
waf-demo.jdcoe.top. 60 IN CNAME waf-demo.jdcoe.top-15f08249c274.jdcloudwaf.com.
;; Received 107 bytes from 59.37.144.32#53(ns1.jdgslb.com) in 28 ms

3 测试Web防护效果

3.1 发起正常访问

在一台机器上正常访问页面，能获得正常响应，同时在Web网站上能看到访问日志。

[root@jdcoe-bastion ~]# curl waf-demo.jdcoe.top/index.html -I
HTTP/1.1 200 OK
Server: jfe
Date: Mon, 24 Dec 2018 08:35:24 GMT
Content-Type: text/html
Content-Length: 3700
Connection: keep-alive
Last-Modified: Tue, 06 Mar 2018 09:26:21 GMT
ETag: "5a9e5ebd-e74"
Accept-Ranges: bytes

Nginx网站访问日志

101.124.31.248 - - [24/Dec/2018:16:35:24 +0800] "HEAD /index.html HTTP/1.0" 200 0 "-" "curl/7.29.0" "114.67.95.131"

3.2 发起异常攻击

下面模拟一个"文件读取/包含攻击"，也就是说在HTTP请求中包含读取特定的系统问题。在无WAF防护的情况下，Web网站将返回如下信息：

[root@waf-demo ~]# curl localhost/index.html/etc/passwd -I
HTTP/1.1 404 Not Found
Server: nginx/1.12.2
Date: Mon, 24 Dec 2018 08:37:15 GMT
Content-Type: text/html
Content-Length: 3650
Connection: keep-alive
ETag: "5a9e5ebd-e42"

但是如果通过WAF防护，WAF将检测出请求中包含了对敏感文件访问，因此阻止该访问请求。

[root@jdcoe-bastion ~]# curl waf-demo.jdcoe.top/index.html/etc/passwd -I
HTTP/1.1 403 Forbidden
Server: jfe
Date: Mon, 24 Dec 2018 08:37:22 GMT
Content-Type: text/html
Content-Length: 162
Connection: keep-alive

3.3 安全分析报表

京东云WAF将根据配置阻断非法的HTTP请求，并通过安全报表获得攻击的来源和攻击类型的相关信息。下图是WAF实例下的waf-demo.jdcoe.top网站的防护报告。

4 环境清理

本指南会用到云主机、公网带宽和Web应用防火墙等收费资源。如果购买时采用按配置计费，建议删除资源。

总结:

本指南介绍了如何利用Web应用防火墙实现一个网站的安全防护。通过Web应用防火墙对HTTP/HTTPS请求的检测和过滤，减少因应用安全漏洞所造成的信息泄漏风险。

微信关注我们

原文链接：https://my.oschina.net/u/4090830/blog/5574295

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

openGauss内核分析：SQL by pass & 经典执行器

摘要：执行引擎一般负责查询的执行，执行引擎在SQL执行栈中起到接收优化器生成的执行计划Plan、并对通过存储引擎提供的数据读写接口，实现对数据进行计算得到查询的结果集。本文分享自华为云社区《openGauss内核分析（七）：SQL by pass & 经典执行器》，作者：Gauss松鼠会。执行引擎一般负责查询的执行，执行引擎在SQL执行栈中起到接收优化器生成的执行计划Plan、并对通过存储引擎提供的数据读写接口，实现对数据进行计算得到查询的结果集。在典型的OLTP场景中，简单查询占了很大一部分比例。这种查询的特征是只涉及单表和简单表达式的查询，因此为了加速这类查询，openGauss提出了SQL by pass框架，在parse层对这类查询做简单的模式判别后，进入到特殊的执行路径里，跳过经典的执行器执行框架，包括算子的初始化与执行、表达式与投影等经典框架，直接重写一套简洁的执行路径，并且直接调用存储接口，这样可以大大加速简单查询的执行速度。 SQL by pass enable_opfusion用于控制是否对简单增删改查进行优化，简单insert语句在开启enable_...

2022-09-08

419

摘要：图像锐化和边缘提取技术可以消除图像中的噪声，提取图像信息中用来表征图像的一些变量，为图像识别提供基础。本文分享自华为云社区《[Python图像处理] 十七.图像锐化与边缘检测之Roberts算子、Prewitt算子、Sobel算子和Laplacian算》，作者： eastmount 。由于收集图像数据的器件或传输数图像的通道的存在一些质量缺陷，文物图像时间久远，或者受一些其他外界因素、动态不稳定抓取图像的影响，使得图像存在模糊和有噪声的情况，从而影响到图像识别工作的开展。这时需要开展图像锐化和边缘检测处理，加强原图像的高频部分，锐化突出图像的边缘细节，改善图像的对比度，使模糊的图像变得更清晰。图像锐化和边缘提取技术可以消除图像中的噪声，提取图像信息中用来表征图像的一些变量，为图像识别提供基础。通常使用灰度差分法对图像的边缘、轮廓进行处理，将其凸显。本文分别采用Laplacian算子、Robert算子、Prewitt算子和Sobel算子进行图像锐化边缘处理实验。本文主要讲解灰度线性变换，基础性知识希望对您有所帮助。该系列在github所有源代码：https://github...

2022-09-08

342

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。