Web Application Firewall:拡張機能

HTTP リクエストの例

POST /api/v1/orders?source=web&campaign=spring2024 HTTP/1.1
Host: shop.example.com
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7)
Cookie: session_id=abc123xyz; user_prefs=lang%3Den%26theme%3Ddark
Content-Type: application/json
Content-Length: 51
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx
Accept: application/json

{"product_id": 789, "quantity": 2, "urgent": true}

リクエストデータの読み取り

すべてのインターフェイスは文字列を返します。フィールドが存在しない場合は、空の文字列が返されます。

メソッドの読み取り

-- POST --
local method = aliwaf.req.get_method()

URIの読み取り

-- /api/v1/orders --
local uri = aliwaf.req.get_uri()

ドメインの読み取り

-- shop.example.com --
local domain = aliwaf.req.get_domain()

クエリの読み取り

-- source=web&campaign=spring2024 --
local query = aliwaf.req.get_query()

クエリパラメーターの読み取り

-- web --
local source = aliwaf.req.get_arg('source')

Cookieの読み取り

-- abc123xyz --
local session_id = aliwaf.req.get_cookie('session_id')

ヘッダーの読み取り

-- Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.xxxxx --
local auth = aliwaf.req.get_header('Authorization')

ボディの読み取り

リクエストボディのステータスの確認

• ボディが完全に受信されたかどうか

  項目	タイプ	説明
  パラメーター	-	-
  戻り値	ブール値	true はリクエストボディが完全に受信されたこと、false はまだ受信すべきデータがあることを示します。

  local last = aliwaf.func.is_last_fragment_arrived()

• ボディが切り捨てられたかどうか

  項目	タイプ	説明
  パラメーター	-	-
  戻り値	ブール値	true はリクエストボディが制限を超えて切り捨てられたこと、false はリクエストボディが完全であることを示します。 デフォルトでは、WAF はリクエストボディを最大 128 KB まで保存します。この制限を超えるリクエストは切り捨てられます (超過部分は破棄されます)。

  local discard = aliwaf.func.is_request_body_discarded()

ボディの待機

リクエストボディは WAF にストリーミング方式で到着するため、スクリプトの実行時にボディがまだ完全に受信されていない可能性があります。完全なボディを処理するには、フレームワークに完全なボディを待機してからスクリプトを再実行するよう明示的に指示する必要があります。

aliwaf.func.wait_request_body()

例：リクエストボディの読み取り

-- ボディが完全に受信されていない場合、待機します --
if not aliwaf.func.is_last_fragment_arrived() then
  aliwaf.func.wait_request_body()
  return
end

-- ボディが完全に受信されたので、切り捨てられたかどうかを確認します --
if aliwaf.func.is_request_body_discarded() then
  return
end

-- eyJwcm9kdWN0X2lkIjogNzg5LCAicXVhbnRpdHkiOiAyLCAidXJnZW50IjogdHJ1ZX0= --
local body = aliwaf.req.get_body()

-- TODO: 完全なボディに対してビジネスロジックを適用します --

一般的なユーティリティ関数

基本的なエンコーディングとデコーディング

URL、Hex、Base64 のエンコーディング/デコーディングインターフェイスは、文字列パラメーターを受け取り、処理された文字列を返します。失敗した場合は、空の文字列を返します。

URL エンコーディングとデコーディング

• escape_uri

  項目	タイプ	説明
  パラメーター	文字列	エンコードする生の文字列。
  戻り値	文字列	エンコードされた文字列。

• unescape_uri

  項目	タイプ	説明
  パラメーター	文字列	デコードする URL エンコードされた文字列。
  戻り値	文字列	デコードされた生の文字列。

-- a%20b を返します --
local data1 = aliwaf.util.escape_uri('a b')

-- a b を返します --
local data2 = aliwaf.util.unescape_uri('a%20b')

Hex エンコーディングとデコーディング

• hex_encode

  項目	タイプ	説明
  パラメーター	文字列	エンコードするバイナリ文字列。
  戻り値	文字列	大文字の Hex エンコードされた文字列。

• hex_decode

  項目	タイプ	説明
  パラメーター	文字列	デコードする Hex 文字列。
  戻り値	文字列	デコードされた生の文字列。入力が無効な場合は、空の文字列 "" を返します。

-- DEADBEEF を返します --
local data1 = aliwaf.util.hex_encode(string.char(0xDE, 0xAD, 0xBE, 0xEF))

-- \xDE\xAD\xBE\xEF を返します --
local data2 = aliwaf.util.hex_decode('DEADBEEF')

Base64 エンコーディングとデコーディング

• base64_encode

  項目	タイプ	説明
  パラメーター	文字列	エンコードする生の文字列。
  戻り値	文字列	Base64 エンコードされた文字列。

• base64_decode

  項目	タイプ	説明
  パラメーター	文字列	デコードする Base64 文字列。
  戻り値	文字列	デコードされた生の文字列。入力が無効な場合は、空の文字列 "" を返します。

-- aGVsbG8= を返します --
local data1 = aliwaf.util.base64_encode('hello')

-- hello を返します --
local data2 = aliwaf.util.base64_decode('aGVsbG8=')

MD5/CRC/SHA

• md5

  項目	タイプ	説明
  パラメーター	文字列	ハッシュ化する生の文字列。
  戻り値	文字列	32 文字の小文字 Hex 形式の MD5 ダイジェスト。

• sha256

  項目	タイプ	説明
  パラメーター	文字列	ハッシュ化する生の文字列。
  戻り値	文字列	64 文字の小文字 Hex 形式の SHA-256 ダイジェスト。

• crc32

  項目	タイプ	説明
  パラメーター	文字列	計算する生の文字列。
  戻り値	整数	CRC32 チェックサム (符号なし 32 ビット整数)。

-- 5d41402abc4b2a76b9719d911017c592 を返します --
local md5 = aliwaf.util.md5('hello')

-- 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824 を返します --
local sha = aliwaf.util.sha256('hello')

-- 3287646509 を返します --
local crc = aliwaf.util.crc32('hello')

暗号化と復号 (AES/DES)

local data1 = aliwaf.util.evp_encrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', 'hello')

local data2 = aliwaf.util.evp_decrypt('aes-128-cbc', 'key-12345678-key', 'iv-1234567890-iv', data1)

署名と検証 (ES256)

local sign = aliwaf.util.es256_sign('private_key-1234', 'hello')

local result = aliwaf.util.es256_verify('public_key-12345', 'hello', sign)

時刻

-- 現在のミリ秒単位のタイムスタンプ (整数) --
local timestamp = aliwaf.util.get_current_ms()

ビジネスヘルパー関数

ビジネスヘルパー関数は、Lua スクリプトと WAF フレームワーク間の連携を行います。

アクション

-- 事前に選択されたアクションに基づいて、現在のリクエストにアクションを実行します
aliwaf.func.punish()