WAF防护规则
2022-11-05 18:10:13 1 举报AI智能生成
基于lua+nginx实现一套兼容蜘蛛的防爬虫、攻击系统思维图
作者其他创作
大纲/内容
智能无感验证
支持动态规则设定
行为智能分析验证
黑名单功能
深度识别恶意访问功能
验证等级加权功能
API接入WAF
智能混淆数据
异常日志
用户链路跟踪
后续方向
分布式带来的白名单共享问题
不同进程间数据共享问题
API没有接入WAF
客户禁用Cookie会导致客户需要频繁验证身份
目前存在问题
否，结束
加载配置文件
加载DB配置模块
是否开启WAF
初始化模块
获取当前访问信息
为空则推送异步任务加载白名单
判断白名单是否为空
在白名单则结束WAF监控
判断当前IP是否在白名单内
生成将记录生成身份识别次数
验证失败或者重新验证危险行为次数+1
验证并且生成身份识别ID验证
是，将推送异步任务，进行DNS反查
判断是否临近危险行为阈值
否，跳转到人机身份识别验证码页面
是，跳转到人机身份识别验证码页面
是，判断是否超过放宽限制后的阈值
是，判断是否输入过验证码
判断是否达到危险行为阈值
判断换取身份验证ID是否达到阈值
是，危险行为+1
判断该用户是否频繁访问
判断是否POST，并且没有来源地址或者UA
判断包含指定UA
判断是否包含指定的URL关键词
是，一半概率危险行为+1
判断是否为搜索页面
判断是否商详页
判断是否分类页面，并且分页大于第二页
判断是否品牌页面，并且分页大于第二页
判断是的供应商页面，并且分页大于第二页
判断是否SPU页面，并且分页大于第二页
当前阶段为rewrite
否，将生成身份识别ID与身份识别验证ID Cookie
否，将重新生成身份识别验证ID Cookie
是，将比对身份验证Cookie是否相等
判断在Cookie上是否存在身份识别ID
当前阶段为header_filter
识别当前访问阶段
处理请求
进入滑动验证码页面
GET请求
否，403
判断必要信息是否存在
签名错误，403
验证签名
403
不存在POST请求内容
失败，渲染滑动验证码页面
滑动验证码结果验证
清除危险行为
清除身份ID换取次数
生成输入过验证码标记
POST请求
404
其他
滑动验证码页面
WAF防护规则
0 条评论
回复 删除
下一页
