脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网站技巧 → 服务器 → nginx → Nginx+lua实现XSS攻击拦截

基于Nginx+lua实现简单的XSS攻击拦截

 更新时间：2024年01月30日 08:47:46   作者：银空飞羽  
WAF即web应用防火墙,Nginx是一个主流的代理服务,除了本身的Nginx日志,作为用户肯定也支持对请求信息进行操作, 很多都是通过在代理服务器上挂载规则特征,实现软件层面的软WAF进行WEB防护,本文主要给大家介绍了Nginx+Lua实现一个简单的XSS攻击拦截,需要的朋友可以参考下

Lua

关于Lua，它是一个脚本语言，因为它极其轻量级，所以一般广泛应用于游戏脚本等高性能的领域。Nginx也有专门对Lua脚本支持的模块，后续的软WAF实现主要就是依赖于Nginx挂载Lua脚本，关于Lua的语法比较简单，可以参考上述文档，不过多赘述。

Nginx的Lua支持

Nginx本身就是模块化的，可以针对模块进行增加修改。那么对于lua的能力支持，主要就是 ngx_http_lua_module 模块来提供的。

location /lua {
	default_type "text/html";
	content_by_lua 'ngx.say("<h1>hello world</h1>")';
}

如果发现不能成功执行，这里便用如下命令，手动安装一下扩展再试试

sudo apt update
sudo apt install nginx-extras

XSS检测lua脚本

这里我写了一个简单XSS检测，直接上代码

local function has_xss(payload)
    if payload and type(payload) == "string" then
        if string.find(payload, "<script>") or string.find(payload, "javascript:") or string.find(payload, "onerror=") then
            return true
        end
    end
    return false
end


ngx.req.read_body()
local args = ngx.req.get_uri_args()

for key, val in pairs(args) do
    if has_xss(val) then
        ngx.exit(ngx.HTTP_FORBIDDEN)
    end
end

可以看到，我写了一个xss的检测函数has_xss，当然规则比较简单。同时接下来，用了ngx.req.read_body()函数，当你需要处理HTTP请求时，必须优先调用该函数，随后才可以获取HTTP的请求数据。

这里调用过该函数后，我取到了uri的参数数据，当然也可以通过ngx.req.get_post_args()获取post参数，也可以通过ngx.req.get_body_data()来获取请求数据，更多的用法函数可以参考最上方的文档进行查询。

最后就是循环遍历参数并执行has_xss进行判断，如果发现命中匹配字符，则返回FORBIDDEN也就是403状态码。

挂载Lua

这里我的lua脚本路径为：/home/ssremex/nginx_lua/xss_check.lua

打开nginx的配置文件 /etc/nginx/nginx.conf

http{
	...
  server {
    ...
		location / {
    	access_by_lua_file /home/ssremex/nginx_lua/xss_check.lua;
			try_files $uri $uri/ /index.html;
  	}
    ...
  
  }
  ...
}

通过access_by_lua_file来使lua脚本挂载到根路由下。

同时，因为咱们定义了拦截返回状态码403，所以希望拦截的时候能够返回这个页面，先简单写个403页面 attack_403.html，

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>WARNNING</title>
</head>
<body>
<h1>发现攻击，已禁止</h1>
</body>
</html>

在nginx.conf中配置上error_page，因为之前我已经设定了web的全局跟路径root，所以我直接将attack_403.html文件放到根路径下也就是home_demo下，路径为/home/ssremex/home_demo/attack_403.html

nginx相关配置如下

http {
	...
    server {
            listen 8088; # 更换成自己像监听的端口
            server_name 0.0.0.0;
            root /home/ssremex/home_demo;

            error_page 403 /attack_403;
            location = /attack_403 { 
                    try_files $uri $uri/ /attack_403.html;
                    internal;
            }

            location / {
                    access_by_lua_file /home/ssremex/nginx_lua/xss_check.lua;
                    try_files $uri $uri/ /index.html;
            }
            location /lua {
                    default_type "text/html";
                    content_by_lua 'ngx.say("<h1>hello world</h1>")';
            }
    }
	...
}

查看效果

本次我们实现的是GET请求的xss检测

nginx -t

通过该命令，测试配置文件没啥问题。

随后，重启nginx服务

systemctl restart nginx

访问WEB服务

一切正常，添加xss参数：http://ip:port/?a=%3Cscript%3E

可以看到直接跳转到403界面，完美实现一个简单的拦截。

到此这篇关于基于Nginx+lua实现XSS攻击拦截的文章就介绍到这了,更多相关Nginx+lua实现XSS攻击拦截内容请搜索脚本之家以前的文章或继续浏览下面的相关文章希望大家以后多多支持脚本之家！

您可能感兴趣的文章:

相关文章

  • Nginx使用反向代理实现负载均衡过程解析

    Nginx使用反向代理实现负载均衡过程解析

    这篇文章主要介绍了Nginx使用反向代理实现负载均衡过程解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
    2019-09-09
  • Windows下Nginx的启动停止等基本操作命令详解

    Windows下Nginx的启动停止等基本操作命令详解

    在Windows下使用Nginx，我们需要掌握一些基本的操作命令，今天为大家分享几个Windows下操作Nginx的基本命令
    2018-10-10
  • 详解Nginx 利用代理转发请求示例

    详解Nginx 利用代理转发请求示例

    这篇文章主要介绍了详解Nginx 利用代理转发请求示例，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2018-03-03
  • Nginx常用技巧使用实例汇总

    Nginx常用技巧使用实例汇总

    这篇文章主要介绍了Nginx常用技巧使用实例汇总,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
    2020-09-09
  • Nginx中location实现多条件匹配的方法详解

    Nginx中location实现多条件匹配的方法详解

    在 Nginx 中,location 指令用于匹配请求的 URI,虽然 location 本身是基于单一匹配规则的,但可以通过多种方式实现多个条件的匹配逻辑,下面小编就来为大家介绍一下具体实现方法吧
    2025-03-03
  • Nginx状态监控以及日志分析详解

    Nginx状态监控以及日志分析详解

    这篇文章主要给大家介绍了关于Nginx状态监控以及日志分析的相关资料，文中通过示例代码介绍的非常详细，对大家学习或者使用Nginx具有一定的参考学习价值，需要的朋友们下面来一起学习学习吧
    2020-06-06
  • nginx中return和rewrite指令同时存在先执行顺序哪个

    nginx中return和rewrite指令同时存在先执行顺序哪个

    在Nginx配置中,当return和rewrite指令同时存在,其执行顺序取决于配置的具体场景,这篇文章主要介绍了nginx中return和rewrite指令同时存在先执行顺序哪个,文中通过代码介绍的非常详细,需要的朋友可以参考下
    2024-09-09
  • nginx容器配置文件独立的实现

    nginx容器配置文件独立的实现

    本文主要介绍了nginx容器配置文件独立，文中通过示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2021-12-12
  • 详解Nginx 静态文件服务配置及优化

    详解Nginx 静态文件服务配置及优化

    这篇文章主要介绍了Nginx 静态文件服务配置及优化，小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
    2019-05-05
  • Nginx 压缩(gzip、gunzip、gzip_static、send_file)的实现

    Nginx 压缩(gzip、gunzip、gzip_static、send_file)的实现

    在Web应用开发中,优化网站速度是一个非常重要的工作,本文主要介绍了Nginx 压缩(gzip、gunzip、gzip_static、send_file)的实现,感兴趣的可以了解一下
    2024-09-09

最新评论