Of Stack

Details of the nginx naxsi whitelist rules

  • 2020-05-17 07:47:14
  • OfStack

Whitelist rules grammar:

BasicRule wl:ID [negative] [mz:[$URL:target_url]|[match_zone]|[$ARGS_VAR:varname]|[$BODY_VARS:varname]|[$HEADERS_VAR:varname]|[NAME]]

wl:ID (White List ID) 哪些拦截规则会进入白名单
wl:0 把所有拦截规则加入白名单
wl:42 把ID为42的拦截规则加入白名单
wl:42,41,43 把ID为42, 41和43的拦截规则加入白名单
wl:-42 把所有拦截规则加入白名单，除了ID为42的拦截规则

mz:(Match Zones)

ARGS GET的整个参数，如: foo=bar&in=%20
$ARGS_VAR GET参数的参数名, 如：foo=bar&in=%20中的foo和in
$ARGS_VAR_X 正则匹配的GET参数的参数名
HEADERS 整个HTTP协议头
$HEADERS_VAR HTTP协议头的名字
$HEADERS_VAR_X 正则匹配的HTTP协议头的名字
BODY POST的整个参数内容
$BODY_VAR POST参数的参数名
$BODY_VAR_X 正则匹配的POST参数的参数名
URL URL(?前的)
URL_X 正则匹配的URL(?前的)
FILE_EXT 文件名 (POST上传文件时上传的文件名)

Example whitelist configuration

Take rule #1000 for example: rule #1000 is a rule that filters SQL keywords including select, update, delete, insert, and so on

规则 说明
BasicRule wl:1000; 在本子规则中完全禁用拦截规则#1000。因为没有指定区域，所以全部加入白名单。
BasicRule wl:1000 "mz:$ARGS_VAR:foo";

在全部GET参数名为foo的值中禁用拦截规则#1000

类似http://mike.hi-linux.com/?foo=select * from demo这样的请示就不会被过滤。
BasicRule wl:1000 "mz:$URL:/bar|ARGS";

在URL为/bar的GET请求中的参数禁用拦截规则#1000

以下类似请求，均不会过滤：

http://mike.hi-linux.com/bar?my=select * from demohttp://mike.hi-linux.com/bar?from=weibo
BasicRule wl:1000 "mz:ARGS|NAME";

在全部GET请求中对所有参数名(只是名，不包含参数值)中禁用拦截规则#1000

以下请求不会过滤：

http://mike.hi-linux.com/bar?from=weibo

以下请求会过滤：

http://mike.hi-linux.com/bar?foo=select

因为select属于参数值，不在白名单范围内。
BasicRule wl:0 "mz:$URL_X:^/upload/(.*).(.*)$|URL";

在全部请求中对符合^/upload/(.*).(.*)$正则规则的URL禁用全部拦截规则

类似http://mike.hi-linux.com/upload/select.db请求不会被过滤(原本会触发#1000拦截规则)。

 

 Actual combat whitelist rules 
# vi naxsi_BasicRule.conf
BasicRule wl:1010,1011 "mz:$ARGS_VAR:rd";
BasicRule wl:1015,1315 "mz:$HEADERS_VAR:cookie";
Related articles: