最近搭建了一個(gè)網(wǎng)站以后曲饱，總覺得裸奔的網(wǎng)站非常不安全添寺，需要加上防護(hù)措施。加一套 waf 防火墻溅漾，然后就可以安心的睡覺了山叮。因?yàn)榉?wù)器使用了寶塔[1]管理，所以我需要既能跟寶塔一起用的 waf添履。
先說結(jié)論
- 寶塔自帶 waf 收費(fèi)
- 寶塔軟件商店里 waf 要么不合適屁倔，要么門檻太高，不好用
- 其它免費(fèi) waf 大多要命令行安裝暮胧，發(fā)揮不了寶塔優(yōu)勢(shì)
最好是有一個(gè)能在寶塔 docker 上運(yùn)行的防火墻汰现，既能用寶塔管理服務(wù)狀態(tài)，又能有自己管理界面的 waf叔壤，而且要免費(fèi)瞎饲，還得有效。所以炼绘，我最后選擇用 docker compose 模板 + 雷池 waf 社區(qū)版嗅战。安裝方法參考我的另一篇文章 http://www.reibang.com/p/978e08095628
waf 對(duì)比
寶塔內(nèi)置 waf
既然用寶塔做服務(wù)管理，第一反應(yīng)就是在寶塔上找找沒有合適的 waf俺亮。在非常顯眼的地方驮捍，找到了 “防火墻” 入口，然后看到了非常顯眼的 “立即購買”脚曾。本著來都來了的想法东且，看了一下官方防火墻的功能介紹[2]，功能還是非常多的本讥，各位看官有錢的捧個(gè)錢場(chǎng)珊泳，我只能捧個(gè)人場(chǎng)鲁冯。
另外根據(jù)文檔介紹，nginx 防火墻是基于 Lua 實(shí)現(xiàn)的色查，也就是說這個(gè)防火墻的本質(zhì)是人工規(guī)則薯演，人工規(guī)則防火墻在防護(hù)能力上可以抵御常見攻擊，只能亡羊補(bǔ)牢不能防患未然秧了。寶塔內(nèi)置 waf 還有一個(gè) Apache 版本[3]跨扮，與 nginx 類似，只是一個(gè)基于 Apache 一個(gè)基于 Nginx验毡，這兩者的差別見仁見智衡创，寶塔官方推薦的是 nginx 版本。
寶塔軟件商店中的免費(fèi) waf
寶塔自帶了一個(gè)軟件商店晶通，抱著試試看的態(tài)度搜了一下璃氢，還真找到了 3 款 waf。前兩個(gè)是官方內(nèi)置的收費(fèi)版录择，第 3 個(gè)則是免費(fèi)版拔莱。這一看碗降，不得了啊隘竭，這是打算跟官方同臺(tái)競(jìng)技啊。趕緊裝上試試讼渊。
感謝作者 “民國(guó)三年一場(chǎng)雨”动看，民國(guó)三年就是 1914年，一百多年過去了爪幻，也不知道雨里發(fā)生什么菱皆。考慮到這個(gè)應(yīng)用只有 403.95k 大小挨稿，總覺得這個(gè)功能可能沒有想的那么多仇轻。
根據(jù)配置界面，啟用防護(hù)奶甘，然后試著發(fā)起一次攻擊請(qǐng)求篷店，然后被攔截了。后臺(tái)管理界面看到的效果記錄是
攔截效果是
攔截頁面上還有提示臭家，誤報(bào)請(qǐng)聯(lián)系寶塔 http://www.bt.cn/bbs疲陕？這不是官方 waf 么？為什么非要偽裝一下自己钉赁？在一個(gè)隱蔽角落還找到一個(gè)“教程”鏈接[4]蹄殃，發(fā)帖人是寶塔技術(shù)-小強(qiáng)[5]，這下是官方的免費(fèi) waf 沒跑了你踩。
另外我還發(fā)現(xiàn)诅岩，這個(gè)免費(fèi)防火墻讳苦，在軟件商店里瀏覽的時(shí)候是找不到的，必須搜索才能搜出來按厘。所以医吊，其實(shí)，人家是不希望你繼續(xù)使用這個(gè) waf 的逮京。并且在使用時(shí)卿堂，還遇到了其它問題
管理界面不好找
我需要先進(jìn)應(yīng)用商店，搜索 waf懒棉，然后找到之后草描，在通過 “設(shè)置” 按鈕進(jìn)入
防御類型固定
想要防御什么類型的攻擊，都是提前設(shè)置好的策严，只能防御這么多穗慕，并且不能新增
內(nèi)置規(guī)則太少
每種防御類型都需要自行配置，雖然有內(nèi)置規(guī)則妻导，但規(guī)則不多逛绵，并且都是比較常見的規(guī)則
總體體驗(yàn)下來，有種我防御了倔韭，但好像防御不高的感覺术浪。
而且，這是怎么回事寿酌？我寶塔自己的 WordPress 用寶塔自己的防火墻掃描胰苏，怎么還掃出 2 個(gè) webshell？這是誰出問題了醇疼？
其它 waf
https://github.com/httpwaf/httpwaf2.0
很久沒更新了
不好塞進(jìn)寶塔里
老牌項(xiàng)目了硕并，但是外國(guó)產(chǎn)品，用不慣
這個(gè)不錯(cuò)秧荆，但是也沒法塞進(jìn)寶塔里
巧了倔毙，這個(gè)原生 docker，剛好兼容寶塔乙濒，稍加改造陕赃，順利上線，看看我的 waf 效果圖琉兜。
