本文最后更新于 2024-06-28，文章内容可能已经过时。

前言

大家好，这里是可爱的cherry。提到WEB应用安全，相比大家都会想到waf服务。

💛什么是WAF：

	Web应用防护系统（也称为：网站应用级入侵防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。

市面上，如安恒、深信服、启明星辰、绿盟等等出名的安全厂家都有waf或云waf系统，但是往往根据域名和端口数量进行收费。

今天，Cherry给大家打来一款开源的waf系统————雷池waf，社区版免费开源，高级版则增加了一些规则功能。

系统使用

一、系统初始化

🔻绑定TOTP验证设备
image.png
🔻系统首页
image.png

二、添加站点

🔻添加站点，支持本地服务和异地服务，域名则是绑定在waf上的域名。

🔶如果是解析异地服务的，需要在DNS解析中，将原服务的解析修改为cname，指向waf域名。
image.png
🔻如果采用HTTPS服务转发的，则需要配置SSL证书，支持申请免费证书。
image.png

三、防护规则

🔻人机验证，先匹配黑白名单，然后进入认证模块，类似CF盾。
image.png
image.png
🔻频率限制，高频率后可开启人机验证，有效降低异常访问。
image.png
🔻语义分析，根据访问内容进行处置，最常见的就是SQL注入等。
image.png
🔻补充规则（收费服务），针对应用设定的针对性规则，如用友程序BUG，文件遍历等。
image.png
🔻黑名单——恶意IP库；白名单——SEO爬虫IP库
image.png
🔻https与证书相关
image.png

系统部署

一键安装脚本

🔻输入一键脚本后，会自动开始安装，检查docker、docker-compose状态，我们要做的就是设定存储路径即可。使用IP:9443访问系统。

bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/setup.sh)"

image.png