南墙WAF密码与FreeOTP双因素认证恢复实战

1. 问题背景与场景还原

上周五深夜处理服务器告警时，我需要登录南墙WAF控制台调整防护策略，却突然发现忘记了管理员密码。更糟糕的是，之前绑定的FreeOTP双因素认证应用也被我误删了。这意味着我既无法通过常规密码登录，也失去了二次验证的能力。作为企业级Web应用防火墙的核心管理系统，这种情况直接导致安全策略无法及时更新，可能影响业务系统的正常防护。

南墙WAF作为国产化安全产品中的佼佼者，其双因素认证机制原本是安全性的重要保障。FreeOTP作为开源的OTP生成器，与各类安全设备兼容性良好。但当这两个安全措施同时失效时，反而成了运维人员的"噩梦"。下面我将详细记录整个恢复过程的技术细节和避坑要点。

2. 密码重置的官方途径验证

2.1 常规密码找回流程分析

首先尝试通过官方提供的密码找回功能：

1. 访问登录页面的"忘记密码"链接
2. 输入注册邮箱和验证码后，系统提示"重置链接已发送"
3. 检查邮箱发现未收到任何邮件（包括垃圾箱）
4. 联系邮件服务商确认无拦截记录

关键发现：南墙WAF的邮件服务依赖于内置的Postfix服务，需检查SMTP服务状态。通过服务器命令行执行systemctl status postfix发现服务处于inactive状态。

2.2 服务端密码重置方案

当邮件服务不可用时，可通过数据库直接修改密码哈希值：

1. 通过SSH登录WAF主机（需服务器物理访问权限）
2. 进入PostgreSQL数据库：sudo -u postgres psql wafdb
3. 执行密码更新SQL：

sql复制UPDATE auth_user SET password='pbkdf2_sha256$260000$HASH$...' WHERE username='admin';

4. 密码哈希值可通过Django的make_password()函数生成

操作风险：直接修改数据库可能违反安全合规要求，建议操作前备份数据库并记录审计日志。

3. FreeOTP恢复的工程技术细节

3.1 OTP机制原理剖析

FreeOTP基于RFC 6238的TOTP标准，其核心参数包括：

• 密钥种子（Base32编码）
• 时间步长（默认30秒）
• 哈希算法（通常为SHA1）
• 数字位数（通常6位）

南墙WAF在初始绑定时会生成唯一的密钥种子，该种子需要同时存储在：

• 服务器端的用户配置文件中
• 客户端的FreeOTP应用中

3.2 服务器端密钥提取方法

通过数据库查询获取OTP配置：

sql复制SELECT otp_secret FROM user_2fa WHERE user_id=1;

若数据库无记录，可检查配置文件：

bash复制grep -r "otp_" /etc/nanqiang_waf/

3.3 客户端重新绑定流程

1. 获取到原始密钥后，使用FreeOTP的扫描功能：

   • 手动输入模式选择"Enter key manually"
   • 输入密钥和账户信息
   • 设置合适的算法参数

2. 验证阶段常见问题处理：

   • 时间不同步：执行ntpdate pool.ntp.org同步服务器时间
   • 算法不匹配：确认使用SHA1而非SHA256
   • 步长差异：检查是否为30秒间隔

4. 生产环境下的应急方案

4.1 临时禁用双因素认证

在紧急情况下可修改配置：

bash复制vim /etc/nanqiang_waf/settings.py
# 修改 ENABLE_2FA = False
systemctl restart nanqiang-waf

安全提示：操作完成后应立即重新启用2FA，并检查此期间的所有登录记录。

4.2 备份与恢复最佳实践

建议建立以下防护措施：

1. OTP密钥备份：

   bash复制# 加密备份密钥
   gpg -c /etc/nanqiang_waf/otp_keys.tar
   scp otp_keys.tar.gpg backup01:/secure/backup/
   

2. 密码管理方案：

   • 使用KeepassXC等开源密码管理器
   • 定期测试密码找回流程
   • 维护应急响应手册

5. 故障预防体系构建

5.1 技术层面防护

1. 配置邮件服务监控：

   bash复制# 监控Postfix服务状态
   */5 * * * * /usr/bin/systemctl is-active --quiet postfix || echo "Alert" | mail -s "Postfix Down" admin@example.com
   

2. 实施双因素认证冗余方案：

   • 同时配置FreeOTP和Google Authenticator
   • 打印应急恢复码并密封保存

5.2 管理流程优化

建立以下制度：

1. 变更管理：

   • 任何安全配置修改需双人复核
   • 维护配置变更日志

2. 应急演练：

   • 每季度模拟密码丢失场景
   • 测试备份恢复流程

这次事故让我深刻体会到，越是严格的安全措施，越需要配套的应急恢复机制。现在我的团队已经建立了完整的2FA备份策略，包括将密钥加密存储在离线介质，以及定期验证恢复流程。安全与可用性的平衡，永远是运维艺术的核心命题。