通过 API 将 IP 黑名单批量添加到 CloudFlare 防火墙

之前提到过《网站如何屏蔽垃圾蜘蛛爬取？》，其中一个措施是 IP 禁封，如果网站直接暴露于互联网上是可以起到很好的防护作用，但在实际操作过程中发现，如果套上 CDN（如 CloudFlare）这些 IP 仍然可以连接到网站！这是因为实际上与网站连接的是 CDN，而 CDN 并没有拒绝 IP 连接到 CDN，所以我们需要把这份黑名单也加到 CDN 中。

以下以 CloudFlare Firewall 中的 IP Access Rules 为例，项目主页：VirCloud/ips-cloudflare

脚本

指定域名下的指定 IP 段（IPv4 / IPv6）访问需要机器人验证：

#/bin/bash
# 填 Cloudflare Email
CFEMAIL=""
# 填 Cloudflare API key
CFAPIKEY=""
# 填 Cloudflare Zones ID
ZONESID=""
# 填 Cloudflare Account ID
ACCOUNTID=""
# 填 IP 黑名单存放位置
IPS="/root/blacklist.txt"
# API 调用每 5 分钟限制 1200
LIMIT="1200"
# 休息 5 分钟再继续
SLEEP="300"
# 循环提交 IPs 到 Cloudflare  防火墙黑名单
I="1"
for IPADDR in `cat $IPS`
do
 if [ "$I" -lt "$LIMIT" ]
 then
  echo "正在添加第 $I 个 IP： $IPADDR"
  curl -s -X POST "https://api.cloudflare.com/client/v4/zones/$ZONESID/firewall/access_rules/rules" \
          -H "X-Auth-Email: $CFEMAIL" \
          -H "X-Auth-Key: $CFAPIKEY" \
          -H "Content-Type: application/json" \
          --data '{"mode":"challenge","configuration":{"target":"ip_range","value":"'$IPADDR'"},"notes":""}'
  I=`expr $I + 1`
 else
  echo "到达 API 调用限制，休息 5 分钟......"
  sleep $SLEEP
  I="1"
 fi
done

使用

先将脚本参数填写完整，然后将 IP 黑名单下载到本地，再执行脚本：

root@az-hk:~# cd ~
root@az-hk:~# wget https://raw.githubusercontent.com/vircloud/ips-cloudflare/master/add-blacklist.sh
--2020-03-19 13:55:55--  https://raw.githubusercontent.com/vircloud/ips-cloudflare/master/add-blacklist.sh
Resolving raw.githubusercontent.com (raw.githubusercontent.com)... 151.101.76.133
Connecting to raw.githubusercontent.com (raw.githubusercontent.com)|151.101.76.133|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 648 [text/plain]
Saving to: ‘add-blacklist.sh’

add-blacklist.sh               100%[====================================================>]     648  --.-KB/s    in 0s      

2020-03-19 13:55:56 (105 MB/s) - ‘add-blacklist.sh’ saved [648/648]

root@az-hk:~# chmod +x add-blacklist.sh 
root@az-hk:~# vim add-blacklist.sh
//修改参数并保存
root@az-hk:~# wget https://raw.githubusercontent.com/vircloud/ips-cloudflare/master/blacklist.txt
--2020-03-19 13:58:42--  https://raw.githubusercontent.com/vircloud/ips-cloudflare/master/blacklist.txt
Resolving raw.githubusercontent.com (raw.githubusercontent.com)... 151.101.76.133
Connecting to raw.githubusercontent.com (raw.githubusercontent.com)|151.101.76.133|:443... connected.
HTTP request sent, awaiting response... 200 OK
Length: 78617 (77K) [text/plain]
Saving to: ‘blacklist.txt’

blacklist.txt                  100%[====================================================>]  76.77K  --.-KB/s    in 0.003s  

2020-03-19 13:58:45 (22.1 MB/s) - ‘blacklist.txt’ saved [78617/78617]

root@az-hk:~# sh add-blacklist.sh
正在添加 IP：1.1.130.0/24
{
  "result": {
    "id": "",
    "paused": false,
    "modified_on": "2020-03-19T05:15:34.05760496Z",
    "allowed_modes": [
      "whitelist",
      "block",
      "challenge",
      "js_challenge"
    ],
    "mode": "challenge",
    "notes": "",
    "configuration": {
      "target": "ip_range",
      "value": "1.1.130.0/24"
    },
    "scope": {
      "id": ",
      "email": "",
      "type": "user"
    },
    "created_on": "2020-03-19T05:15:34.05760496Z"
  },
  "success": true,
  "errors": [],
  "messages": []
}
......

效果

前面提到 Firewalld 防火墙动作（"mode"）支持四种模式，分别是 "challenge"（质询）、"block"（阻止）、"whitelist"（白名单）、"js_challenge"（Javascript 质询）。

"whitelist"（白名单）就是允许没什么好说的，我们看看另外三个模式的效果是怎样的。

challenge

响应码：403
页面显示（验证码）：

block

响应码：403
页面显示（Access denied）：

js_challenge

响应码：503
页面显示（5 秒盾，已有破解方案）：

参考：

1、《CloudFlare API v4 Documentation》
2、《Cloudflare自动拉黑恶意IP到防火墙和自动切换5秒盾脚本防CC攻击》