iptables -m string模块不能可靠封禁恶意http请求，因其仅支持单包字节匹配，无法跨包重组、解析http结构、处理编码压缩或解密tls，对分片、加密、编码等真实场景完全失效。

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

iptables 的 `-m string` 模块**不能可靠封禁包含恶意代码的 HTTP 请求**。这不是配置是否正确的问题，而是该模块在设计上就缺乏应用层理解能力。 它只能对单个 IP 数据包的原始载荷做字节扫描，不重组 TCP 流、不解析 HTTP 结构、不处理编码压缩、也无法定位字段位置。真实 HTTP 流量中，一个 `<script>` 或 `eval(` 很可能被拆成两个 TCP 包，或出现在 gzip 压缩后的密文里——此时 `--string` 完全失效。 以下是你需要知道的关键事实和可行替代路径： <H3>为什么 --string 在 HTTP 场景下大概率失效 <p>– <strong>跨包拆分：HTTP 请求常被分片传输，关键词如 <code>"<script>" 若横跨两个 TCP 包，iptables 无法拼接匹配<br> – <strong>编码绕过：URL 编码（<code>%3Cscript%3E）、Unicode、大小写混用、空格变形等，纯字符串匹配直接漏掉<br> – <strong>无协议感知：无法区分 URL、Header、Body；不能跳过 Cookie/Referer 等动态长度头部去精准扫描 body<br> – <strong>HTTPS 无效：443 端口流量全程加密，载荷是 TLS 密文，`--string` 扫不到任何明文脚本特征<br> – <strong>误杀风险高：未加 `--from/--to` 限制时，可能匹配到 TCP 头部、ACK 序列号甚至响应体中的正常内容 <H3>若仍需在内核层做粗筛，可尝试的有限适用场景 <p>仅限极简、可控、无优化的明文 HTTP 内网环境：<br> – 服务禁用 gzip、br、chunked encoding<br> – 请求体小（<1500 字节），确保整条请求落在单个以太网帧内<br> – 所有客户端直连，无代理、无 CDN、无 TLS 终止<br> – 可接受一定漏报与误杀 <p>示例（仅作示意，不推荐生产使用）：<br> <pre class="brush:php;toolbar:false;">iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate ESTABLISHED,RELATED \<br> -m string --algo bm --from 200 --to 1024 --string "javascript:" --icase -j DROP<br> 注意：<code>--from 200 是硬估的 header 长度，实际随 Cookie、User-Agent 波动，极易错位 <H3>真正有效的替代方案 <p>– <strong>透明代理 + 正则过滤：用 Squid、nginx（配合 Lua 或 http_sub_module）或 Envoy 解析完整 HTTP 流，支持字段级匹配、解码还原、正则识别<br> – <strong>专用 WAF：ModSecurity（Nginx/Apache 模块）、Cloudflare、OpenResty + lua-resty-waf，专为 Web 攻击特征设计<br> – <strong>eBPF + 应用层检测：借助 Cilium、Tracee 或自定义 eBPF 程序，在内核中实现 TCP 流重组与协议解析，性能与精度兼顾<br> – <strong>应用层日志联动封禁：Nginx 日志识别恶意 UA/路径/参数 → 脚本提取 IP → `iptables -I INPUT -s xxx -j DROP`（封源 IP，非封内容） <H3>验证与调试建议 <p>– 先用 <code>tcpdump -i eth0 -A -s 0 port 80 抓包，确认目标字符串是否真以明文、连续、未截断形式出现在单包载荷中<br> – 检查内核是否支持：<code>ls /lib/modules/$(uname -r)/kernel/net/netfilter/xt_string.ko*，缺失需重编译内核或安装对应 module<br> – 避免规则放在默认 ACCEPT 之后；用 <code>-I INPUT 1 插入链首，并加 <code>-m conntrack --ctstate NEW 控制作用范围 不复杂但容易忽略：封“恶意代码”本质是语义识别问题，而 iptables 是状态less 的包过滤器。把应用层任务强加给传输层工具，就像用扳手拧螺丝——能转，但不是它的活。 </script>