前言:最近一段时间在写加密数据功能，对安全相关知识还是缺少积累，无意间接触到了WAF相关知识，刚好Nginx可以实现WAF功能，也简单学习了Lua这门语言，分享下
一、WAF产生的背景
过去企业通常会采用防火墙，作为安全保障的第一道防线；当时的防火墙只是在第三层（网络层）有效的阻断一些数据包；而随着web应用的功能越来越丰富的时候，Web服务器因为其强大的计算能力，处理性能，蕴含较高的价值，成为主要的被攻击目标（第五层应用层）。而传统防火墙在阻止利用应用程序漏洞进行的攻击方面，却没有办法；在此背景下，WAF(Web Application Firewall）应运而生。
二、什么是WAF
Web 应用防火墙 (WAF-Web Application Firewall) 旨在保护 Web 应用免受各类应用层攻击，例如跨站点脚本 (XSS)、SQL 注入，以及 cookie 中毒等。应用是您重要数据的网关，因此针对应用发起的攻击就成为了造成漏洞的主要原因。有了 WAF 就可以拦截一系列企图通过入侵系统来泄漏数据的攻击。
三、工作原理
1.用户通过浏览器向Web服务器发送网页请求。
2.用户的请求到达Web服务器之前，WAF对用户的请求进行过滤
3.WAF拿到用户的HTTP请求参数去跟配置文件定义的规则做比较(比如ip黑名单)，如果匹配上就返回403拒绝，否则就放行。
4.WEB服务器响应用户请求，把页面数据返回给用户。
四、WAF作用
waf是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
五、WAF和传统防火墙的区别
1.传统防火墙是工作在网络层(第三层)和传输层(第四层)
2.WAF是工作在应用层(第七层)
3.传统防火墙更多是对IP和端口进行过滤
4.WAF是对HTTP请求进行过滤，包括URL，IP，User-Agent等等
六、WAF和DDos
DDos的全称是Distributed Denial of service。主要依靠一组计算机来发起对一个单一的目标系统的请求，从而造成目标系统资源耗尽而拒绝正常的请求。
根据OSI网络模型，最常见的DDos有三类，第三层（网络层）DDos、第四层（传输层）DDos和第七层（应用层）DDos。
WAF主要处理第七层DDos攻击，它在处理第七层DDos攻击时会比其它防护手段更高效一些。WAF会对HTTP流量做详细的分析，这样WAF就能针对正常的访问请求进行建模，然后使用这些模型来区分正常的请求和攻击者使用机器人或者脚本触发的请求
七、Nginx WAF功能
支持IP白名单和黑名单功能，直接将黑名单的IP访问拒绝（新增cdip功能支持ip段）
支持URL白名单，将不需要过滤的URL进行定义
支持User-Agent的过滤，匹配自定义规则中的条目，然后进行处理
支持CC攻击防护，单个URL指定时间的访问次数，超过设定值（新增针对不同域名）
支持Cookie过滤，匹配自定义规则中的条目，然后进行处理
支持URL过滤，匹配自定义规则中的条目，如果用户请求的URL包含这些
支持URL参数过滤，原理同上
支持日志记录，将所有拒绝的操作，记录到日志中去
新增支持拉黑缓存（默认600秒）
八、Nginx Waf防护流程
if whiteip() then elseif blockip() then elseif denycc() then elseif ngx.var.http_Acunetix_Aspect then ngx.exit(444) elseif ngx.var.http_X_Scan_Memo then ngx.exit(444) elseif whiteurl() then elseif ua() then elseif url() then elseif args() then elseif cookie() then elseif PostCheck then