--- theme: juejin --- # 写在前面 WAF即web应用防火墙。 Nginx是一个主流的代理服务，之前记录过它的四层、七层代理。既然流量都经过Nginx了，那除了本身的Nginx日志，作为用户肯定也支持对请求信息进行操作。尤其是在安全领域，很多都是通过在代理服务器上挂载规则特征，实现软件层面的软WAF进行WEB防护。这次主要就是记录一下Nginx+Lua实现一个简单的XSS攻击拦截。关于更详细的内容，均可参考该网站文档进行学习： # Lua 关于Lua，它是一个脚本语言，因为它极其轻量级，所以一般广泛应用于游戏脚本等高性能的领域。Nginx也有专门对Lua脚本支持的模块，后续的软WAF实现主要就是依赖于Nginx挂载Lua脚本，关于Lua的语法比较简单，可以参考上述文档，不过多赘述。 # Nginx的Lua支持 Nginx本身就是模块化的，可以针对模块进行增加修改。那么对于lua的能力支持，主要就是 ngx_http_lua_module 模块来提供的。 ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/1cb0e125b7b54302a881e613ba0873cd~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=678&h=292&s=47948&e=png&b=242a37) ```bash location /lua { default_type "text/html"; content_by_lua 'ngx.say("

hello world

")'; } ``` ![](https://p3-juejin.byteimg.com/tos-cn-i-k3u1fbpfcp/2f1e5197dd2b410bb1eb0a94af5bc5a4~tplv-k3u1fbpfcp-jj-mark:0:0:0:0:q75.image#?w=694&h=331&s=20340&e=png&b=fafafa) 如果发现不能成功执行，这里便用如下命令，手动安装一下扩展再试试 ```bash sudo apt update sudo apt install nginx-extras ``` # XSS检测lua脚本这里我写了一个简单XSS检测，直接上代码 ```lua local function has_xss(payload) if payload and type(payload) == "string" then if string.find(payload, "