Nginx 开源免费 WAF 防火墙宝塔插件 新增PHP2Shell 防护

┌─────────────────────────────────────────────────────────────────┐
│                        Nginx 启动 / reload                      │
│  ┌─────────────────────────────────────────────────────────┐    │
│  │  init_by_lua_file  →  init.lua                          │    │
│  │  • 加载 config.json / site.json 到全局变量              │    │
│  │  • 加载 rule/*.json 规则文件到内存数组                  │    │
│  │  • 预加载 html/*.html 拦截模板                          │    │
│  │  • 加载 domains.json → 构建 domains_map (O(1) 域名归一) │    │
│  │  • 初始化 shared_dict 统计计数 + 历史恢复与校准         │    │
│  │  • 构建站点级 disable_rule hash set                     │    │
│  │  • 提取站点专属白名单 / PHP禁止路径 / 禁止上传扩展名    │    │
│  └─────────────────────────────────────────────────────────┘    │
│                            ↓                                     │
│  access_by_lua_file  →  waf.lua                                 │
│  • 纯内存匹配，仅拦截日志同步直写，零 JSON 解析                 │
│  • domains_map O(1) 归一化绑定域名 → 站点主名                  │
│  • get_effective_cfg() 合并全局开关 + 站点三态配置              │
│  • 短路匹配：规则命中即返回，后续规则不再遍历                   │
│  • shared_dict 实现 IP 封禁、CC 计数、自动永久拉黑              │
└─────────────────────────────────────────────────────────────────┘

请求进入（domains_map 归一化域名 → 加载生效配置）
  │
  ├─► ① IP 白名单 → 放行
  │
  ├─► ② IP 黑名单 → 拦截
  │
  ├─► ③ 已封锁 IP（drop 检查）→ 拦截
  │
  ├─► ④ URL 白名单 → 放行
  │
  ├─► ⑤ 恶意 HEAD 请求拦截 → 拦截（零容忍，首次命中即封IP）
  │
  ├─► ⑥ URL 黑名单检查 → 拦截
  │
  ├─► ⑦ 海外 IP 拦截（SSL验证IP豁免）→ 拦截
  │
  ├─► ⑧ CC 攻击检测（滑动窗口 + CC2挑战验证 + 自动永久拉黑）→ 拦截
  │
  ├─► ⑨ 扫描器特征检测（Cookie/Header/Args）→ 拦截
  │
  ├─► ⑩ UA 恶意规则 → 拦截
  │
  ├─► ⑪ URL 路径规则 → 拦截
  │
  ├─► ⑫ GET 参数规则 → 拦截
  │
  ├─► ⑬ Cookie 规则 → 拦截
  │
  ├─► ⑭ ThinkPHP 漏洞防护（5.x RCE + 3.x 日志泄露）→ 拦截
  │
  ├─► ⑮ PHP2Shell 防护（multipart boundary 合法性校验）→ 拦截
  │
  ├─► ⑯ POST 检查（内容攻击 + 文件上传扩展名黑名单 + disable_rule 跳过）→ 拦截
  │
  ├─► ⑰ 站点级自定义规则（PHP禁止路径 / 禁止路径 / 禁止扩展名 / url_rule / url_tell）→ 拦截
  │
  └─► 放行

bt_ngx_waf/
├── info.json                        # 宝塔插件元数据（版本、作者、安装入口）
├── install.sh                       # 安装 / 更新 / 卸载脚本
├── migrate.py                       # 配置补全脚本（通用默认值补全，对齐 free_waf 模式）
├── bt_ngx_waf_main.py               # Python 后端 API（面板数据读写 + 自动生成 domains.json + 系统防火墙集成）
├── index.html                       # 前端管理界面
├── icon.png                         # 插件图标
├── conf/
│   └── bt_ngx_waf.conf              # Nginx 配置片段（shared_dict + lua hook）
└── data/
    ├── config.json                  # 全局配置模板
    ├── site.json                    # 站点级配置存储（支持多站点 + 三态继承）
    ├── domains.json                 # 域名映射表（Python 后端自动生成）
    ├── total.json                   # 统计计数持久化（含分类计数 + 站点级计数 + 校准）
    ├── drop_ip.log                  # IP 封禁历史日志
    ├── operation.log                # 操作日志
    ├── lua/
    │   ├── init.lua                 # 初始化脚本（init_by_lua，仅 reload 时执行）
    │   ├── waf.lua                  # 请求过滤主逻辑（access_by_lua，每请求执行 + API 端点分流）
    │   └── api.lua                  # Lua 端 API 接口（仅 127.0.0.1 可访问，已整合进 waf.lua handle_api）
    ├── rule/
    │   ├── args.json                # GET 参数规则（SQL注入/XSS等）
    │   ├── cookie.json              # Cookie 攻击规则
    │   ├── ip_black.json            # IP 黑名单（支持精确匹配和IP段）
    │   ├── ip_white.json            # IP 白名单
    │   ├── post.json                # POST 内容规则
    │   ├── url.json                 # URL 路径规则
    │   ├── url_black.json           # URL 黑名单规则（独立于 url 规则）
    │   ├── url_white.json           # URL 白名单规则
    │   ├── whiteurl.json            # URL 白名单规则（兼容旧版命名）
    │   ├── user_agent.json          # User-Agent 规则（恶意爬虫/扫描器）
    │   ├── scan_black.json          # 扫描器特征规则（Cookie / Header / Args）
    │   ├── head_white.json          # HEAD 请求白名单规则（爬虫UA自动放行）
    │   └── cn.json                  # 国内 IP 段列表（海外拦截用）
    └── html/
        ├── get.html                 # GET/URL 拦截页面
        ├── post.html                # POST 拦截页面
        ├── cookie.html              # Cookie 拦截页面
        └── user_agent.html          # UA 拦截页面

/www/server/bt_ngx_waf/
├── lua/*.lua           # Lua 脚本（来自 data/lua/）
├── rule/*.json         # 规则文件（来自 data/rule/，保留用户自定义）
├── html/*.html         # 拦截模板（来自 data/html/，保留用户自定义）
├── config.json         # 全局配置（面板修改后自动 reload）
├── site.json           # 站点配置
├── domains.json        # 域名映射表（Python 后端写入，与 site.json 同步）
├── total.json          # 统计持久化
└── drop_ip.log         # IP 封禁历史

[启用状态, "正则表达式", "规则说明", 是否自定义]

[
  [1, "(?:select|union|insert|update|delete)\\s+", "SQL注入", 0],
  [1, "<script.*?>", "XSS攻击", 1],
  [0, "已禁用的规则", "这条不会生效", 0]
]

[  "192.168.1.1",  "10.0.0.1",
  [ [173, 224, 195, 2], [173, 224, 195, 10] ],
  [ [203, 106, 0, 1], [203, 106, 0, 255] ]
]

{  "example.com": {    "open": true,    "cdn": false,    "cdn_header": ["x-forwarded-for", "x-real-ip"],    "cc": { "open": true, "limit": 80, "cycle": 30, "endtime": 600, "auto_black_count": 4, "force_black_per_hour": 36000 },    "disable_rule": {      "args": [2, 5],      "post": [1]
    },    "whiteurl": ["^/api/public/", "^/upload/"],    "disable_php_path": ["^/uploads/", "^/data/"],    "disable_upload_ext": ["php", "jsp", "asp", "exe"],    "disable_path": ["^/admin/backup/", "^/config/"],    "disable_ext": ["bak", "sql", "ini"],    "url_rule": [["^/api/order", "price.*=.*99999"], ["^/api/user", "role.*=.*admin"]],    "url_tell": [["^/api/internal", "token", "secret123"]],    "scan": true,    "drop_abroad": false,    "head": true,    "retry": 3,    "retry_time": 300,    "retry_cycle": 60
  }
}

# 方式一：通过宝塔面板插件市场直接安装https://gitee.com/web/bt_ngx_lua_waf/releases/download/latest/bt_ngx_waf.zip# 方式二：源码部署cd /www/server/panel/plugin/bt_ngx_waf
bash install.sh install# 方式三：更新现有安装bash install.sh update# 卸载bash install.sh uninstall

# 如果安装脚本自动重载失败，手动执行/etc/init.d/nginx configtest && /etc/init.d/nginx reload# 验证 shared_dict 是否加载curl -s http://127.0.0.1/bt_ngx_waf_api?action=ping# 应返回 {"status":"ok"}

/etc/init.d/nginx reload

# 将 test_waf.php 放到任意被 WAF 保护的站点根目录cp test_waf.php /www/wwwroot/example.com/test_waf.php# 浏览器访问http://example.com/test_waf.php