通過nginx配置檔案抵禦攻擊，防禦CC攻擊的經典思路！

0x00 前言

0x01 驗證浏覽器行為

簡易版

我們先來做個比喻。

社群在搞福利，在廣場上給大家派發紅包。而壞人派了一批人形的機器人(沒有語言子產品)來冒領紅包，聰明從業人員需要想出辦法來防止紅包被冒領。

于是從業人員在發紅包之前，會給領取者一張紙，上面寫着“紅包拿來”，如果那人能念出紙上的字，那麼就是人，給紅包，如果你不能念出來，那麼請自覺。于是機器人便被識破，灰溜溜地回來了。

     add_header Set-Cookie "say=hbnl";

     rewrite .* "$scheme://$host$uri" redirect;

}

讓我們看下這幾行的意思，當cookie中say為空時，給一個設定cookie say為hbnl的302重定向包，如果通路者能夠在第二個包中攜帶上cookie值，那麼就能正常通路網站了，如果不能的話，那他永遠活在了302中。你也可以測試一下，用CC攻擊器或者webbench或者直接curl發包做測試，他們都活在了302世界中。

當然，這麼簡單就能防住了？當然沒有那麼簡單。

增強版

仔細的你一定會發現配置檔案這樣寫還是有缺陷。如果攻擊者設定cookie為say=hbnl（CC攻擊器上就可以這麼設定），那麼這個防禦就形同虛設了。我們繼續拿剛剛那個比喻來說明問題。

壞人發現這個規律後，給每個機器人安上了揚聲器，一直重複着“紅包拿來，紅包拿來”，浩浩蕩蕩地又來領紅包了。

這時，從業人員的對策是這樣做的，要求領取者出示有自己名字的戶口本，并且念出自己的名字，“我是xxx，紅包拿來”。于是一群隻會嗡嗡叫着“紅包拿來”的機器人又被攆回去了。

當然，為了配合說明問題，每個機器人是有戶口本的，被趕回去的原因是不會念自己的名字，雖然這個有點荒誕，唉。

然後，我們來看下這種方式的配置檔案寫法

if ($cookie_say != "hbnl$remote_addr"){

     add_header Set-Cookie "say=hbnl$remote_addr";

這樣的寫法和前面的差別是，不同IP的請求cookie值是不一樣的，比如IP是1.2.3.4，那麼需要設定的cookie是say=hbnl1.2.3.4。于是攻擊者便無法通過設定一樣的cookie(比如CC攻擊器)來繞過這種限制。你可以繼續用CC攻擊器來測試下，你會發現CC攻擊器打出的流量已經全部進入302世界中。

不過大家也能感覺到，這似乎也不是一個萬全之計，因為攻擊者如果研究了網站的機制之後，總有辦法測出并預先僞造cookie值的設定方法。因為我們做差異化的資料源正是他們本身的一些資訊（IP、user agent等）。攻擊者花點時間也是可以做出專門針對網站的攻擊腳本的。

完美版

那麼要如何根據他們自身的資訊得出他們又得出他們算不出的數值？

我想，聰明的你一定已經猜到了，用salt加散列。比如md5("opencdn$remote_addr")，雖然攻擊者知道可以自己IP，但是他無法得知如何用他的IP來計算出這個散列，因為他是逆不出這個散列的。當然，如果你不放心的話，怕cmd5.com萬一能查出來的話，可以加一些特殊字元，然後多散幾次。

rewrite_by_lua '

     local say = ngx.md5("opencdn" .. ngx.var.remote_addr)

     if (ngx.var.cookie_say ~= say) then

         ngx.header["Set-Cookie"] = "say=" .. say

         return ngx.redirect(ngx.var.scheme .. "://" .. ngx.var.host .. ngx.var.uri)

     end

';

通過這樣的配置，攻擊者便無法事先計算這個cookie中的say值，于是攻擊流量(代理型CC和低級發包型CC)便在302地獄無法自拔了。

這段配置是可以被放在任意的location裡面，如果你的網站有對外提供API功能的話，建議API一定不能加入這段，因為API的調用也是沒有浏覽器行為的，會被當做攻擊流量處理。并且，有些弱一點爬蟲也會陷在302之中，這個需要注意。

同時，如果你覺得set-cookie這個動作似乎攻擊者也有可能通過解析字元串模拟出來的話，你可以把上述的通過header來設定cookie的操作，變成通過高端大氣的js完成，發回一個含有doument.cookie=...的文本即可。

那麼，攻擊是不是完全被擋住了呢？隻能說那些低級的攻擊已經被擋住而來，如果攻擊者必須花很大代價給每個攻擊器加上webkit子產品來解析js和執行set-cookie才行，那麼他也是可以逃脫302地獄的，在nginx看來，确實攻擊流量和普通浏覽流量是一樣的。那麼如何防禦呢？下節會告訴你答案。

0x02 請求頻率限制

不得不說，很多防CC的措施是直接在請求頻率上做限制來實作的，但是，很多都存在着一定的問題。

那麼是哪些問題呢？

首先，如果通過IP來限制請求頻率，容易導緻一些誤殺，比如我一個地方出口IP就那麼幾個，而通路者一多的話，請求頻率很容易到上限，那麼那個地方的使用者就都通路不了你的網站了。

那麼我們要如何來做這個請求頻率的限制呢？

首先，我們先要一個攻擊者無法杜撰的sessionID，一種方式是用個池子記錄下每次給出的ID，然後在請求來的時候進行查詢，如果沒有的話，就拒絕請求。這種方式我們不推薦，首先一個網站已經有了session池，這樣再做個無疑有些浪費，而且還需要進行池中的周遊比較查詢，太消耗性能。我們希望的是一種可以無狀态性的sessionID，可以嗎？可以的。

     local random = ngx.var.cookie_random

     if(random == nil) then

         random = math.random(999999)

     local token = ngx.md5("opencdn" .. ngx.var.remote_addr .. random)

     if (ngx.var.cookie_token ~= token) then

         ngx.header["Set-Cookie"] = {"token=" .. token, "random=" .. random}

大家是不是覺得好像有些眼熟？是的，這個就是上節的完美版的配置再加個随機數，為的是讓同一個IP的使用者也能有不同的token。同樣的，隻要有nginx的第三方子產品提供散列和随機數功能，這個配置也可以不用lua直接用純配置檔案完成。

有了這個token之後，相當于每個訪客有一個無法僞造的并且獨一無二的token，這種情況下，進行請求限制才有意義。

http{

     ...

然後我們隻需要在上面的token配置後面中加入

limit_req zone=session_limit burst=5;

于是，又是兩行配置便讓nginx在session層解決了請求頻率的限制。不過似乎還是有缺陷，因為攻擊者可以通過一直擷取token來突破請求頻率限制，如果能限制一個IP擷取token的頻率就更完美了。可以做到嗎？可以。

     limit_req_zone $cookie_token zone=session_limit:3m rate=1r/s;

     limit_req_zone $binary_remote_addr $uri zone=auth_limit:3m rate=1r/m;

location /{

     limit_req zone=session_limit burst=5;

     rewrite_by_lua '

     if (random == nil) then

         return ngx.redirect("/auth?url=" .. ngx.var.request_uri)

         return ngx.redirect("/auth?url=".. ngx.var.request_uri)

location /auth {

     limit_req zone=auth_limit burst=1;

     if ($arg_url = "") {

         return403;

     }

         local random = math.random(9999)

         local token = ngx.md5("opencdn" .. ngx.var.remote_addr .. random)

         if (ngx.var.cookie_token ~= token) then

             ngx.header["Set-Cookie"] = {"token=" .. token, "random=" .. random}

             return ngx.redirect(ngx.var.arg_url)

         end

     ';

我想大家也應該已經猜到，這段配置檔案的原理就是：把本來的發token的功能分離到一個auth頁面，然後用limit對這個auth頁面進行頻率限制即可。這邊的頻率是1個IP每分鐘授權1個token。當然，這個數量可以根據業務需要進行調整。

當然，你如果還不滿足于這種限制的話，想要做到某個IP如果一天到達上限超過幾次之後就直接封IP的話，也是可以的，你可以用類似的思路再做個錯誤頁面，然後到達上限之後不傳回503而是跳轉到那個錯誤頁面，然後錯誤頁面也做個請求次數限制，比如每天隻能通路100次，那麼當超過報錯超過100次(請求錯誤頁面100次)之後，那天這個IP就不能再通路這個網站了。

于是，通過這些配置我們便實作了一個網站通路頻率限制。不過，這樣的配置也不是說可以完全防止了攻擊，隻能說讓攻擊者的成本變高，讓網站的扛攻擊能力變強，當然，前提是nginx能夠扛得住這些流量，然後帶寬不被堵死。如果你家門被堵了，你還想開門營業，那真心沒有辦法了。

然後，做完流量上的防護，讓我們來看看對于掃描器之類的攻擊的防禦。

0x03 防掃描

ngx_lua_waf子產品

這個是一個不錯的waf子產品，這塊我們也就不再重複造輪子了。可以直接用這個子產品來做防護，當然也完全可以再配合limit子產品，用上文的思路來做到一個封IP或者封session的效果。

0x04 總結

本文旨在達到抛磚引玉的作用，我們并不希望你直接單純的複制我們的這些例子中的配置，而是希望根據你的自身業務需要，寫出适合自身站點的配置檔案。

本文轉自 liqius 51CTO部落格，原文連結：http://blog.51cto.com/szgb17/1713037，如需轉載請自行聯系原作者