分享 | 网站安全防卫战——玩转LNMP+Redis

继上一篇从CDN和服务器机房的角度来解决网站面临被CC/DDoS的问题后。本期将会从服务器软件配置层面来对服务器应对网络攻击进行优化处理。

如大多数站长所知，Redis和Mencached都是比较出名的缓存器，在开启OPcache+Redis/Mencached后，会对于站点在高并发场景下有显著的性能提升。

但其实，我们可以利用Redis对用户Session进行更加合理的IP黑名单管理，通过配置Nginx的conf来活动更好的抗C效果。废话不多说，开始干活！

一、Redis服务配置

首先确保您当前服务器正确的配置了Redis环境，其次是PHP对应版本成功安装了Redis的拓展。如果一切就绪，那么下面开始吧。

将此段代码至于您的index文件下：

//Redis防CCm，将恶意IP扔进小黑屋
header('Content-Type: text/html; charset=UTF-8'); 
//原有代码，此段代码放在下面
//CC攻击停止后会尽快解除验证码，回到正常状态
//防CC配置
$IPmax = 60; //开启验证码条件 值>=php最大进程数，适当设置更大会降低验证码触发条件，但会增大502错误几率（php挂起）
$IPfor = 60; //周期 这个值基本不用动
$IPban = 120; //扔入黑名单 60秒内访问超过60次即拉黑IP
$banTime = 3600*24; //黑名单时长 扔小黑屋时长
$ip = ip();
//连接本地的 Redis 服务
$redis = new Redis();
$redis->connect('127.0.0.1', 6379);
//拦截黑名单
if($redis->exists($ip.'ban')){
exit('您被关进了小黑屋，么么哒！');
}
//扔黑名单检测
if($redis->get($ip.'ok') >= $IPban){
$redis->setex($ip.'ban', $banTime, '1');
}
if($redis->exists($ip.'ok')){
$redis->incrby($ip.'ok',1); //记录IP 自增1
}else{
$redis->setex($ip.'ok',$IPfor,1);
}
//按需开启防CC 小黑屋IP不会触发该条件，所以当一段时间以后就会解除验证码。除非攻击者换一批代理继续攻击。如此往复
if(count($redis->keys("*ok")) > $IPmax){
//验证
if($_COOKIE['key'] == ''){
if($_GET['cc']){
$key = md5($ip.$_GET['cc']);
setcookie("key",$key);
}
}
//拦截代码
if($_COOKIE['key'] && $_COOKIE['cc'] && $_COOKIE['key'] == md5($ip.$_COOKIE['cc'])){
//通过
}else{
if($_GET['cc']){
$key = md5($ip.$_GET['cc']);
setcookie("key",$key);
}else{
$cc = rand(1000,9999);
setcookie("cc",$cc);
//这里只是简单的构造了一下验证码，有能力可以自己更改的更安全和完美。
echo '<!DOCTYPE html>
<html>
<body>
<form action="">请输入：'.$cc.' ：<input type="text" name="cc" value=""><input type="submit" value="继续访问"></form> 
<p> Hey，你的刷新速度太快啦！请输入验证码再尝试继续访问吧~</p>
</body>
</html>';
}
exit();
}
}
function ip() {
if(getenv('HTTP_CLIENT_IP') && strcasecmp(getenv('HTTP_CLIENT_IP'), 'unknown')) {
$ip = getenv('HTTP_CLIENT_IP');
} elseif(getenv('HTTP_X_FORWARDED_FOR') && strcasecmp(getenv('HTTP_X_FORWARDED_FOR'), 'unknown')) {
$ip = getenv('HTTP_X_FORWARDED_FOR');
} elseif(getenv('REMOTE_ADDR') && strcasecmp(getenv('REMOTE_ADDR'), 'unknown')) {
$ip = getenv('REMOTE_ADDR');
} elseif(isset($_SERVER['REMOTE_ADDR']) && $_SERVER['REMOTE_ADDR'] && strcasecmp($_SERVER['REMOTE_ADDR'], 'unknown')) {
$ip = $_SERVER['REMOTE_ADDR'];
}
$res = preg_match ( '/[\d\.]{7,15}/', $ip, $matches ) ? $matches [0] : '';
return $res;
}

二、NGINX服务配置

限制Nginx同一时间段ip访问次数：
nginx可以通过ngx_http_limit_conn_module和ngx_http_limit_req_module配置来限制ip在同一时间段的访问次数.

ngx_http_limit_conn_module：该模块用于限制每个定义的密钥的连接数，特别是单个IP地址的连接数．使用limit_conn_zone和limit_conn指令．

ngx_http_limit_req_module：用于限制每一个定义的密钥的请求的处理速率，特别是从一个单一的IP地址的请求的处理速率。使用“泄漏桶”方法进行限制．指令：limit_req_zone和limit_req．

ngx_http_limit_conn_module：限制单个IP的连接数示例：

http { 
  limit_conn_zone $binary_remote_addr zone=addr：10m; 
　　 #定义一个名为addr的limit_req_zone用来存储session，大小是10M内存，
  #以$binary_remote_addr 为key,
  #nginx 1.18以后用limit_conn_zone替换了limit_conn,
  #且只能放在http{}代码段．
  ... 
  server { 
    ... 
    location /download/ { 
      limit_conn addr 1; 　　#连接数限制
      #设置给定键值的共享内存区域和允许的最大连接数。超出此限制时，服务器将返回503（服务临时不可用）错误.
　　　　　　　＃如果区域存储空间不足，服务器将返回503（服务临时不可用）错误
    }

可能有几个limit_conn指令,以下配置将限制每个客户端IP与服务器的连接数，同时限制与虚拟服务器的总连接数：

http { 
  limit_conn_zone $binary_remote_addr zone=perip：10m; 
  limit_conn_zone $server_name zone=perserver：10m 
  ... 
  server { 
    ... 
    limit_conn perip 10; 　　　　 #单个客户端ip与服务器的连接数．
    limit_conn perserver 100;　　＃限制与服务器的总连接数
    }

举个例子：

http {
  limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
  ...
　　#定义一个名为one的limit_req_zone用来存储session，大小是10M内存，　　
　　#以$binary_remote_addr 为key,限制平均每秒的请求为1个，
　　#1M能存储16000个状态，rete的值必须为整数，
　　
  server {
    ...
    location /search/ {
      limit_req zone=one burst=5;
　　　　　　　　
　　　　　　　　#限制每ip每秒不超过1个请求，漏桶数burst为5,也就是队列．
　　　　　　　　#nodelay，如果不设置该选项，严格使用平均速率限制请求数，超过的请求被延时处理．
　　　　　　　　#举个栗子：
　　　　　　　　＃设置rate=20r/s每秒请求数为２０个，漏桶数burst为5个，
　　　　　　　　#brust的意思就是，如果第1秒、2,3,4秒请求为19个，第5秒的请求为25个是被允许的，可以理解为20+5
　　　　　　　　#但是如果你第1秒就25个请求，第2秒超过20的请求返回503错误．
　　　　　　　　＃如果区域存储空间不足，服务器将返回503（服务临时不可用）错误　
　　　　　　　　＃速率在每秒请求中指定（r/s）。如果需要每秒少于一个请求的速率，则以每分钟的请求（r/m）指定。　
　　　　　　　　
    }

还可以限制来自单个IP地址的请求的处理速率，同时限制虚拟服务器的请求处理速率：

http {
  limit_req_zone $binary_remote_addr zone=perip:10m rate=1r/s;
  limit_req_zone $server_name zone=perserver:10m rate=10r/s;
  ...
  server {
    ...
      limit_req zone=perip burst=5 nodelay;　　#漏桶数为５个．也就是队列数．nodelay:不启用延迟．
      limit_req zone=perserver burst=10;　　　　#限制nginx的处理速率为每秒10个
    }

写在最后：一个防御DDoS的CDN + 一个防御CC的服务器 + 有效的站点缓存策略组 = 一个安心的网站
若是如此，依旧无法解决您当前的防御问题，那么要么钞能力解决，要么就只有认栽了（手动狗头）。

⚠敬告：未经授权，严禁转发

参考文档：NGINX-Module ngx_http_limit_conn_module

分享 | 网站安全防卫战——玩转LNMP+Redis

Latest Articles

Categories

Archive

Project

Links