前言

互联网世界很多人都在裸奔，其实你只要稍加调整，你就可以使你的个人网络资产得到一定的保障。

最近接触了一些WAF相关安全设备管理工作，同时近一段时间在用rust重写了我的微信公众号后台机械人（微信公众号：攻有道，回复：dy@微信号，有惊喜），在调试的时候正巧想把接口放在WAF后面，并在此基础上，做了一些尝试个人网络资产的防护工作，比如我的nps、宝塔等，于是有了这一篇文当作记录，如有纰漏欢迎斧正。

基础设置

初步想法，web工具后台设置为仅本地访问，再通过WAF的Nginx代理转发过去。

设置长亭waf：今天的主角
配置本地host域名：一点小技巧
工具防护优化：一些防护设置优化

安装长亭雷池WAF

这边用到的WAF是长亭雷池WAF的社区版

官方地址：92aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4j5h3k6Q4x3X3c8U0k6g2)9J5k6h3y4Z5j5h3W2@1K9h3&6Q4x3X3g2U0L8R3`.`.

官方文档：安装雷池详细教程

一键安装长亭雷池waf，官方会有比较详细的介绍，这边不做过多介绍

bash -c "$(curl -fsSLk 1b4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4j5h3k6Q4x3X3c8U0k6g2)9J5k6h3y4Z5j5h3W2@1K9h3&6Q4x3X3g2U0L8W2)9J5c8Y4u0W2L8r3g2S2M7$3g2Q4x3V1k6D9j5i4c8W2M7%4c8Q4x3V1k6K6k6i4c8#2M7q4)9J5k6i4y4Z5i4K6t1&6"

WAF设置

由于waf会根据不同的域名选择不同的web后台，在这边我们需要使用到一点小技巧，这个技巧同时也是保护我们的互联网资产的技巧之一。

登陆后台后，我们可以以WAF的管理后台为例，设置一个访问，在waf管理后台添加一个你想要的域名，可以是真的，也可以是假的（如果是假的后面会讲到绑定host的方式访问），然后设置你web工具的后台地址，此处我们使用的是长亭WAF的管理后台为例也就是：bd2K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5J5y4#2)9J5k6e0m8Q4x3X3f1H3i4K6u0W2x3g2)9K6b7e0V1@1y4o6x3`.

图片描述

配置hosts

经过以上这些设置后，你还不能通过域名访问直接访问到你的管理后台，你需要在本地配置host有以下两种方式。

方式一：浏览器插件代理

使用SwitchyOmega插件：34fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0K9s2u0G2L8h3g2%4k6h3u0K6N6r3!0J5k6g2)9J5k6h3N6G2L8$3N6D9k6g2)9J5k6h3y4G2L8g2)9J5c8X3c8W2N6r3q4A6L8q4)9J5c8Y4m8J5L8%4S2&6i4K6u0V1M7%4N6A6N6r3y4Z5P5h3!0E0k6h3N6S2i4K6u0r3M7r3q4V1k6h3E0Y4j5$3g2E0L8r3!0C8j5X3q4V1L8$3S2Y4K9$3W2X3K9h3A6G2L8h3y4D9k6$3A6Y4K9h3k6Q4x3@1k6&6P5h3c8K6i4K6y4p5j5$3S2S2x3e0p5`.

新建PAC情景模式

图片描述

脚本内容为如下，其中<IP>替换为你使用的IP地址即可，添加多个域名像如下添加host即可。

function getProxyForSpecificHosts(host) {
    if (host == "waf.cha11.163.com"||
        host == "bug.cha11.163.com") {
        return "PROXY <IP>:80; SYSTEM";
    } else {
        return "SYSTEM";
    }
}
function FindProxyForURL(url, host) {
    if (shExpMatch(url, "http:*") || shExpMatch(url, "https:*")) {
        if (isPlainHostName(host)) {
            if (host == 'localhost') {
                return "DIRECT";
            } else {
                return getProxyForSpecificHosts(host);
            }
        } else {
            return getProxyForSpecificHosts(host);
        }
    } else {
        return "SYSTEM";
    }
}

如果你用自动切换模式的话可以在上面的基础上如下设置

图片描述

方式二：修改本地hosts文件

可使用全局的方式设定hosts文件

Mac/Linux的路径：/etc/hosts

Windows的路径：C:\Windows\System32\drivers\etc\hosts

在hosts中添加如下行，其中<IP>也是需要替换为你的IP，waf.cha11.163.com则需要设置为你在waf上设置的域名

<IP>   waf.cha11.163.com

工具防护优化

可设置CDN等增加防溯源性本文不做过多介绍，web后台设置仅本地访问可分为以下两个方向：

工具本身可设置仅允许本地地址访问，这种的话找到对应的设置位置设置即可
工具本身无此功能则需要在服务器防火墙上进行设置，或者云服务厂商后台进行设置

宝塔面板

宝塔有自己的方式保护自身的应用安全，如添加url后缀路径等，在这里我们可在添加后缀的同时关闭远程访问方式

图片描述

NPS

NPS是一款红队常用的代理工具，当然他存在一些相关的安全问题（）

项目地址：a3dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6W2K9r3q4F1k6#2)9J5k6r3W2G2i4K6u0r3L8Y4m8K6

修改配置文件./nps/conf/nps.conf

图片描述

Gophish

Gophish是红队常用的一款社工钓鱼工具

项目地址：a66K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6Y4L8%4m8Z5K9i4y4Z5i4K6u0r3k6$3!0H3K9r3W2K6K9l9`.`.

图片描述

Viper

Viper(炫彩蛇)是一款图形化互联网攻击面管理&红队模拟平台

项目地址：362K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6r3N6h3&6F1P5g2N6G2L8r3k6Q4x3V1k6h3K9i4m8W2M7R3`.`.