Filtron

Reverse-HTTP-Proxy zum Filtern von Anfragen nach verschiedenen Regeln. Kann zwischen Produktions-Webserver und Anwendungsserver eingesetzt werden, um Missbrauch des Anwendungs-Backends zu verhindern.

Der ursprüngliche Zweck dieses Programms war die Verteidigung von searx, aber es kann zum Schutz jeder Webanwendung verwendet werden.

Installation und Einrichtung

$ go install github.com/asciimoo/filtron
$ "$GOPATH/bin/filtron" --help

Regeln

Eine Regel hat zwei erforderliche Attribute: name und actions

Eine Regel kann alle folgenden Attribute enthalten:

• limit Ganzzahl - Definiert, wie viele übereinstimmende Anfragen innerhalb von interval Sekunden auf die Anwendung zugreifen dürfen. (Kann weggelassen werden, wenn 0)
• interval Ganzzahl - Zeitraum in Sekunden zum Zurücksetzen der Regelzahlen (Kann weggelassen werden, wenn limit 0 ist)
• filters Liste von Selektoren
• aggregations Liste von Selektoren (wenn filters angegeben ist, wird es nur aktiviert, wenn der Filter zutrifft)
• subrules Liste von Regeln (wenn filters angegeben ist, wird es nur aktiviert, wenn der Filter zutrifft)
• disabled Bool - Deaktiviert eine Regel (Standard ist false)
• stop Bool - Beendet die Anfragevalidierung sofort und überspringt die restlichen Regeln (Standard ist false)

JSON-Darstellung einer Regel:

{
    "name": "example rule",
    "interval": 60,
    "limit": 10,
    "filters": ["GET:q", "Header:User-Agent=^curl"],
    "actions": [
        {"name": "log",
         "params": {"destination": "stderr"}},
        {"name": "block",
         "params": {"message": "Not allowed"}}
     ]
}

Erklärung: Erlaube nur 10 Anfragen pro Minute, bei denen q als GET-Parameter dargestellt wird und der User-Agent-Header mit curl beginnt. Die Anfrage wird auf STDERR protokolliert und bei Überschreitung des Limits mit einer benutzerdefinierten Fehlermeldung blockiert. Weitere Beispiele finden Sie hier.

actions

Die Aktionen einer Regel werden sequentiell aktiviert, wenn eine Anfrage das Limit der Regel überschreitet

Hinweis: Nur die erste Aktion der Regel, die eine benutzerdefinierte Antwort liefert, wird ausgeführt

Derzeit implementierte Aktionen

log

Protokolliert die Anfrage

block

Liefert eine HTTP-429-Antwort, anstatt die Anfrage an die Anwendung weiterzuleiten

shell

Führt einen Shell-Befehl aus. cmd (String) und args (Liste von Selektoren) sind erforderliche Parameter (Beispiel: {"name": "shell", "params": {"cmd": "echo %v is the IP", "args": ["IP"]}})

filters

Wenn alle Selektoren gefunden werden, wird ein Zähler erhöht. Die Regel blockiert die Anfrage, wenn der Zähler limit erreicht

aggregations

Zählt die von den Selektoren zurückgegebenen Werte. Die Regel blockiert die Anfrage, wenn die Anzahl eines Wertes limit erreicht

subrules

Jede Regel kann beliebig viele Unterregeln enthalten. Wird bei Übereinstimmung des Filters der übergeordneten Regel aktiviert.

Selektoren

Verschiedene Teile einer Anfrage können mit Hilfe von Selektorausdrücken extrahiert werden.

Selektoren sind Zeichenketten, die jedes Attribut einer HTTP-Anfrage mit folgender Syntax abgleichen können:

[!]RequestAttribute[:SubAttribute][=Expression]

• ! kann den Selektor negieren
• RequestAttribute (erforderlich) wählt einen bestimmten Teil einer Anfrage aus - mögliche Werte:
  • Einzelner Wert
    • IP
    • Host
    • Path
    • Method
  • Mehrere Werte
    • GET
    • POST
    • Param - ein Alias für sowohl GET als auch POST
    • Cookie
    • Header
• SubAttribute wenn kein einzelner Wert ist, kann dies das innere Attribut festlegen

Beispiele

IP gibt die IP-Adresse des Clients zurück

GET:x gibt den GET-Parameter x zurück, falls vorhanden

!Header:Accept-Language gibt true zurück, wenn kein Accept-Language HTTP-Header vorhanden ist

Path=^/(x|y)$ stimmt überein, wenn der Pfad /x oder /y ist

IP=nslookup(example.com) stimmt überein, wenn die IP-Adresse des Clients eine der IP-Adressen von example.com ist.

API

Filtron kann über seine REST-API konfiguriert werden, die standardmäßig auf 127.0.0.1:4005 lauscht.

API-Endpunkte

/rules

Geladene Regeln im JSON-Format

/rules/reload

Lädt die beim Start angegebene Regeldatei neu

WebUI

Auf der API basierende UI

Fehler

Fehler oder Vorschläge? Besuchen Sie den Issue-Tracker.