利用ModSecurity在Nginx上构建WAF

admin

ModSecurity原本是Apache上的一款开源WAF模块，可以有效的增强Web安全性。目前已经支持Nginx和IIS，配合Nginx的灵活和高效可以打造成生产级的WAF，是保护和审核Web安全的利器。
/ q9 C8 t" g, h9 z, M: P5 @
8 ^1 Q# [. q. U0 H: _: E7 Z; |
4 |2 K- c; y4 K, o; U在这篇文章中，我们将学习配置ModSecurity与OWASP的核心规则集。

+ n0 }  V1 J0 A9 ~8 C* |! t
什么是ModSecurity
ModSecurity是一个入侵侦测与防护引擎，它主要是用于Web应用程序，所以也被称为Web应用程序防火墙(WAF)。它可以作为Web服务器的模块或是单独的应用程序来运作。ModSecurity的功能是增强Web Application 的安全性和保护Web application以避免遭受来自已知与未知的攻击。
- ?/ }+ V9 A/ `7 d$ J/ {9 Y5 P* J  E
: k; D- @- |* D
ModSecurity计划是从2002年开始，后来由Breach Security Inc.收购，但Breach Security Inc.允诺ModSecurity仍旧为Open Source，并开放源代码给大家使用。最新版的ModSecurity开始支持核心规则集(Core Rule Set)，CRS可用于定义旨在保护Web应用免受0day及其它安全攻击的规则。
$ m, t8 v0 {6 b7 ~; I" A# w& l
: E) ^1 x0 Z* k! M% }/ Z* W
ModSecurity还包含了其他一些特性，如并行文本匹配、Geo IP解析和信用卡号检测等，同时还支持内容注入、自动化的规则更新和脚本等内容。此外，它还提供了一个面向Lua语言的新的API，为开发者提供一个脚本平台以实现用于保护Web应用的复杂逻辑。


官网： https://www.modsecurity.org/
4 U" s: V6 y2 ?/ m
( F# J# p! w3 Y  e
  [- s* X2 Y( m6 |/ f* R5 y什么是OWASP CRS
$ \9 s& t1 @8 d1 H; iOWASP是一个安全社区，开发和维护着一套免费的应用程序保护规则，这就是所谓OWASP的ModSecurity的核心规则集(即CRS)。ModSecurity之所以强大就在于OWASP提供的规则，我们可以根据自己的需求选择不同的规则，也可以通过ModSecurity手工创建安全过滤器、定义攻击并实现主动的安全输入验证。
; m" a  V: N2 A! ~+ b
+ Q/ Q: T8 `+ @# p
8 k" B1 s; s( @7 _. MModSecurity核心规则集(CRS)提供以下类别的保护来防止攻击。

/ M5 Y4 i: W! v8 r1 q0 n
HTTP Protection(HTTP防御)
3 p' X3 N7 P4 t$ ZHTTP协议和本地定义使用的detectsviolations策略。

$ o; a+ Y! ^5 u7 L
* b7 j7 C% w7 [+ d4 T  HReal-time Blacklist Lookups(实时黑名单查询)
利用第三方IP名单。


* x4 T3 Q( r% w( Z6 d7 Q* v: IHTTP Denial of Service Protections(HTTP的拒绝服务保护)
% h* P, A9 E$ D, D9 M6 u# u防御HTTP的洪水攻击和HTTP Dos攻击。


. M; }, R. q" c( d( b: iCommon Web Attacks Protection(常见的Web攻击防护)
检测常见的Web应用程序的安全攻击。
8 Q( K: ?2 _$ l# a7 p$ ^

Automation Detection(自动化检测)
& C5 s: K- R4 @# ~9 n+ j检测机器人，爬虫，扫描仪和其他表面恶意活动。
: S5 p( O/ k7 f2 \
0 N( q" I* o) s6 _
& [! ?5 z0 I# Y7 }# o" U8 X6 UIntegration with AV Scanning for File Uploads(文件上传防病毒扫描)
; r; ^" z) F3 y# m" ^检测通过Web应用程序上传的恶意文件。
% l  |8 b/ p' q3 G% S' S+ F. U
$ \* Y/ v) M/ N" m& X, [
* w' i+ k: q0 h& I8 H8 [4 ?; ^Tracking Sensitive Data(跟踪敏感数据)
信用卡通道的使用，并阻止泄漏。

0 O; d1 U& [6 [5 X- [8 T
Trojan Protection(木马防护)
8 k4 i& W9 `- E1 M2 X' H检测访问木马。
4 U3 x& p, j8 F, l) O$ ?3 K
* B! N1 g! {2 e/ w
Identification of Application Defects(应用程序缺陷的鉴定)
+ [6 t! s: [" a0 V" }+ H6 C1 @- x检测应用程序的错误配置警报。

6 [; ^$ N; {! X
Error Detection and Hiding(错误检测和隐藏)
1 H! T, C- r! ~) o检测伪装服务器发送错误消息。
# G& Q0 R+ _9 g- T. L) T

9 M/ [5 W( N( d+ a; {) ^0 b安装ModSecurity
软件基础环境准备
下载对应软件包
$ cd /root
$ wget 'http://nginx.org/download/nginx-1.9.2.tar.gz'
) b1 x. B8 d' U+ f! ^0 h$ wget -O modsecurity-2.9.1.tar.gz https://github.com/SpiderLabs/ModSecurity/releases/download/v2.9.1/modsecurity-2.9.1.tar.gz
1 f6 s/ r2 ?2 c" Q5 E安装Nginx和ModSecurity依赖包
Centos/RHEL
6 P- q( H/ Y% R! E# e3 O

$ yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel zlib zlib-devel openssl openssl-devel
Ubuntu/Debian
$ k! J& Z; A$ h& p: M7 D
# f9 u' f6 }5 d1 X! ?0 J# a
$ apt-get install libreadline-dev libncurses5-dev libssl-dev perl make build-essential git  libpcre3 libpcre3-dev libtool autoconf apache2-dev libxml2 libxml2-dev libcurl4-openssl-dev g++ flex bison curl doxygen libyajl-dev libgeoip-dev dh-autoreconf libpcre++-dev
' \) o  T& D4 `; [. I3 r- [5 ?编译安装ModSecurity
Nginx加载ModSecurity模块有两种方式:一种是编译为Nginx静态模块，一种是通过ModSecurity-Nginx Connector加载动态模块。
5 W9 O. S5 N0 D0 w: a7 }5 o

8 z+ D, L# E# B- b4 P7 k方法一：编译为Nginx静态模块
* D1 t* y3 f9 Z* G1 E
3 n6 a, e+ ^6 f% A
编译为独立模块(modsecurity-2.9.1)
$ tar xzvf modsecurity-2.9.1.tar.gz
$ cd modsecurity-2.9.1/
7 i8 C8 s1 c2 [9 u& R$ ./autogen.sh
! B+ g8 O; a6 W+ X$ ./configure --enable-standalone-module --disable-mlogc
$ make
编译安装Nginx并添加ModSecurity模块
5 ?! Q  r7 r0 m3 y1 W$ tar xzvf nginx-1.9.2.tar.gz
$ cd nginx-1.9.2
$ ./configure --add-module=/root/modsecurity-2.9.1/nginx/modsecurity/
$ make && make install
方法二：编译通过ModSecurity-Nginx Connector加载的动态模块
2 J: G  D. t$ j) ^

; U/ Z8 O) B: X" B1 p' J2 H) t编译LibModSecurity(modsecurity-3.0)
$ cd /root
$ git clone https://github.com/SpiderLabs/ModSecurity
8 ]" P0 Z7 ^! d* H, H6 m$ z" ?$ cd ModSecurity
& Y$ D( b% b5 G( G( m. C+ t( h" |$ git checkout -b v3/master origin/v3/master
! G8 r+ G* Y) e  V' L; m$ sh build.sh
$ git submodule init
$ git submodule update
: A$ ?3 z+ c. {* p$ ./configure
$ make
$ make install
# H, k* \0 V* K$ V; ?1 fLibModSecurity会安装在 /usr/local/modsecurity/lib 目录下。
: I  I4 ]& |3 i) \; b

$ ls /usr/local/modsecurity/lib
libmodsecurity.a  libmodsecurity.la  libmodsecurity.so  libmodsecurity.so.3  libmodsecurity.so.3.0.0
% A6 C2 ~0 p; w, n- h7 x编译安装Nginx并添加ModSecurity-Nginx Connector模块
使用ModSecurity-Nginx模块来连接LibModSecurity


  S4 M" l5 K- r+ W" O$ l$ cd /root
, U2 D1 V8 p5 g) X: p1 u$ git clone https://github.com/SpiderLabs/ModSecurity-nginx.git modsecurity-nginx
$ tar xzvf nginx-1.9.2.tar.gz
$ cd nginx-1.9.2
/ L# C' u1 D' i: F, W' P0 j0 \0 {$ ./configure --add-module=/root/modsecurity-nginx
$ make
1 q3 ?1 y; M( G5 t7 v$ make && make install
: `, f& {* ?7 P! h添加OWASP规则
& j$ J5 v% I) Y: U! |8 g+ F! o0 r: JModSecurity倾向于过滤和阻止Web危险，之所以强大就在于规则。OWASP提供的规则是社区志愿者维护的被称为核心规则CRS,规则可靠强大，当然也可以自定义规则来满足各种需求。
0 I1 `$ A4 Y) m, }
6 J1 O0 [/ h3 ?4 b' i
下载OWASP规则并生成配置文件
  s: ^" U7 k8 _8 `% n1 t& |$ U$ git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
! y$ s' z$ l0 M  i* Z7 L. v7 x) K$ cp -rf owasp-modsecurity-crs  /usr/local/nginx/conf/
" F  Y5 t% b' u) e$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
$ cp crs-setup.conf.example  crs-setup.conf
2 ~8 ^6 d; k6 v配置OWASP规则
编辑crs-setup.conf文件

/ u* }' k) g" L  y+ q7 I
$ sed -ie 's/SecDefaultAction "phase:1,log,auditlog,pass"/#SecDefaultAction "phase:1,log,auditlog,pass"/g' crs-setup.conf
1 B7 k1 Z1 f1 a7 z% T4 \$ sed -ie 's/SecDefaultAction "phase:2,log,auditlog,pass"/#SecDefaultAction "phase:2,log,auditlog,pass"/g' crs-setup.conf
+ q8 t0 y9 x; h, N" I8 Y* g# G; O$ sed -ie 's/#.*SecDefaultAction "phase:1,log,auditlog,deny,status:403"/SecDefaultAction "phase:1,log,auditlog,deny,status:403"/g' crs-setup.conf
$ sed -ie 's/# SecDefaultAction "phase:2,log,auditlog,deny,status:403"/SecDefaultAction "phase:2,log,auditlog,deny,status:403"/g' crs-setup.conf
默认ModSecurity不会阻挡恶意连接，只会记录在Log里。修改SecDefaultAction选项，默认开启阻挡。


# p6 p! x/ C# t- c9 r! K8 e# C& Y启用ModSecurity模块和CRS规则
! _/ r3 l# R, b* Y2 T复制ModSecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到Nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

5 O: f1 g# E* F8 L3 j  C/ p
! o( P$ `+ t& j( p+ V3 b1 fmodsecurity.conf-recommended是ModSecurity工作的主配置文件。默认情况下，它带有.recommended扩展名。要初始化ModSecurity，我们就要重命名此文件。
, Q2 W' N1 g, A
, [4 k9 ~& ], k3 g: X) H, {
$ cd /root/modsecurity-2.9.1/
; @4 {. q0 S* l. U: `$ cp modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity.conf  
& p8 K; b1 k1 S, C$ cp unicode.mapping  /usr/local/nginx/conf/
将SecRuleEngine设置为On，默认值为DetectOnly即为观察模式，建议大家在安装时先默认使用这个模式，规则测试完成后在设置为On，避免出现对网站、服务器某些不可知的影响。


$ vim /usr/local/nginx/conf/modsecurity.conf
/ q3 [9 _# Y8 s8 Z# P( j8 @SecRuleEngine On
ModSecurity中几个常用配置说明：
" x) G" S2 l: B* W7 x% @2 y

0 Y4 n/ C. Q) }9 p  ~1.SecRuleEngine：是否接受来自ModSecurity-CRS目录下的所有规则的安全规则引擎。因此，我们可以根据需求设置不同的规则。要设置不同的规则有以下几种。SecRuleEngine On：将在服务器上激活ModSecurity防火墙，它会检测并阻止该服务器上的任何恶意攻击。SecRuleEngine Detection Only：如果设置这个规则它只会检测到所有的攻击，并根据攻击产生错误，但它不会在服务器上阻止任何东西。SecRuleEngine Off:这将在服务器上上停用ModSecurity的防火墙。


2.SecRequestBodyAccess：它会告诉ModSecurity是否会检查请求，它起着非常重要的作用。它只有两个参数ON或OFF。

( u$ }, ~0 c/ {; v$ M: S, |, z- j$ v
( V, Z% }! \/ R. n9 c& D! [/ q3.SecResponseBodyAccess：如果此参数设置为ON，然后ModeSecurity可以分析服务器响应，并做适当处理。它也有只有两个参数ON和Off，我们可以根据求要进行设置。


# t" U- O. u! B, m  V2 E% w4.SecDataDir：定义ModSecurity的工作目录，该目录将作为ModSecurity的临时目录使用。
2 p7 C$ d  ?# e

在 owasp-modsecurity-crs/rules 下有很多定义好的规则，将需要启用的规则用Include指令添加进来就可以了。

" C% F( f# A( F# h4 W
3.x版本CRS
2 _! q. v  l2 ]3 j! H- X# M; C' M$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
2 g3 f4 ^9 z: G6 X7 o/ d; h# 生成例外排除请求的配置文件
0 ~( x8 h5 T2 ?# G$ cp rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
$ cp rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf
$ cp rules/*.data /usr/local/nginx/conf
为了保持modsecurity.conf简洁，这里新建一个modsec_includes.conf文件,内容为需要启用的规则。
# e) M+ B8 @* |* o* F$ N  D
* j  z; G; a# v$ k  X1 I0 A  W4 a
$ vim /usr/local/nginx/conf/modsec_includes.conf
5 k& r) P6 D$ V$ u

[Bash shell] 纯文本查看 复制代码

include modsecurity.conf
include owasp-modsecurity-crs/crs-setup.conf
include owasp-modsecurity-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
include owasp-modsecurity-crs/rules/REQUEST-901-INITIALIZATION.conf
Include owasp-modsecurity-crs/rules/REQUEST-903.9002-WORDPRESS-EXCLUSION-RULES.conf
include owasp-modsecurity-crs/rules/REQUEST-905-COMMON-EXCEPTIONS.conf
include owasp-modsecurity-crs/rules/REQUEST-910-IP-REPUTATION.conf
include owasp-modsecurity-crs/rules/REQUEST-911-METHOD-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-912-DOS-PROTECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-913-SCANNER-DETECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-920-PROTOCOL-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-921-PROTOCOL-ATTACK.conf
include owasp-modsecurity-crs/rules/REQUEST-930-APPLICATION-ATTACK-LFI.conf
include owasp-modsecurity-crs/rules/REQUEST-931-APPLICATION-ATTACK-RFI.conf
include owasp-modsecurity-crs/rules/REQUEST-932-APPLICATION-ATTACK-RCE.conf
include owasp-modsecurity-crs/rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf
include owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf
include owasp-modsecurity-crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf
include owasp-modsecurity-crs/rules/REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION.conf
include owasp-modsecurity-crs/rules/REQUEST-949-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-950-DATA-LEAKAGES.conf
include owasp-modsecurity-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf
include owasp-modsecurity-crs/rules/RESPONSE-952-DATA-LEAKAGES-JAVA.conf
include owasp-modsecurity-crs/rules/RESPONSE-953-DATA-LEAKAGES-PHP.conf
include owasp-modsecurity-crs/rules/RESPONSE-954-DATA-LEAKAGES-IIS.conf
include owasp-modsecurity-crs/rules/RESPONSE-959-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-980-CORRELATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

; U3 V9 V! z* X3 x注：考虑到可能对主机性能上的损耗，可以根据实际需求加入对应的漏洞的防护规则即可。
3 Q6 k, d' w! v% i# f9 ^1 N

( K( ^! P7 C. Q2 T! A, @# Q+ I! b/ l配置Nginx支持Modsecurity
) l- z! T2 S5 C/ I$ g启用Modsecurity
! ?- m7 _$ L# h6 J1 b使用静态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：

" ^* {; V( }9 N' _  ]
ModSecurityEnabled on;
ModSecurityConfig modsec_includes.conf;
# c$ ?! v9 d, Y& d修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。

2 c8 \/ a3 H" R) w
$ vim /usr/local/nginx/conf/nginx.conf

" |' b1 i& z" ]. @& _9 \, x
3 M3 [, C, e, ]1 C3 x. Pserver {
' C- }; l' H) e$ t* {0 N3 M1 L  listen       80;
: @+ d7 ~# c4 R) G1 f# T( @0 ]  server_name  example.com;
3 S9 W4 W3 z- p9 i5 V8 N' C6 G5 N# G
1 G4 G- |+ Q( h, |
4 K% c; G# P( `; k: {  location / {
2 d, u8 }; H4 r, B/ O, k    ModSecurityEnabled on;
    ModSecurityConfig modsec_includes.conf;
5 Z5 H. k" b" P8 K* f# j+ X2 g6 T    root   html;
    index  index.html index.htm;
  }
}
使用动态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：

  E5 ^: E0 l2 N6 \! t
modsecurity on;
modsecurity_rules_file modsec_includes.conf;
修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。


9 Y3 ~" y  [; l$ e. U' p: b$ vim /usr/local/nginx/conf/nginx.conf
# \4 ]  o, r) F! }/ a1 P

server {
4 A  y& B0 B: |- ?) q! r" L9 Z  listen  80;
  server_name localhost mike.hi-linux.com;
  access_log /var/log/nginx/yourdomain.log;
9 p/ _% G0 a; z/ ^% B7 \

  location / {
# {. Q! n9 e# v8 E6 d
, x  ]# a5 S3 b- l! [: S
  modsecurity on;
9 W! j) R3 N1 d5 Q( e* r8 b: W  modsecurity_rules_file modsec_includes.conf;
( u% C( N! f* X9 l2 P  root   html;
  index  index.html index.htm;
/ e3 }% P# ~8 [}
}
: H$ \/ a& @8 b验证Nginx配置文件
0 D! }3 \4 o6 w) V9 G# \3 X$ /usr/local/nginx/sbin/nginx -t
' h$ X, S- ^9 U3 M, X; \nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
启动Nginx
0 S3 f" F' c3 y6 {0 q% U$ /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf
) Z0 e  d2 P) E4 u& S2 E6 b
, y# j8 D& u% b; E" S

测试Modsecurity

ModSecurity现在已经成功配置了OWASP的规则。现在我们将测试对一些最常见的Web应用攻击。来测试ModSecurity是否挡住了攻击。这里我们启用了XSS和SQL注入的过滤规则，下面的例子中不正常的请求会直接返回403。

在浏览器中访问默认首页，会看到Nginx默认的欢迎页：

[/url]

这时我们在网址后面自己加上正常参数，例如： 。同样会看到Nginx默认的欢迎页：

[url=http://img.colabug.com/2017/06/842f48f203c6c2cd30144f29b57af97a.png]

接下来，我们在前面正常参数的基础上再加上  ,整个请求变成：

[/url]

就会看到Nginx返回403 Forbidden的信息了，说明Modsecurity成功拦截了此请求。再来看一个的例子，同样会被Modsecurity拦截。

[url=http://img.colabug.com/2017/06/246ce28e95310a32f791893d4f5c55ca.png]

查看Modsecurity日志

[url=http://img.colabug.com/2017/06/ae44dcb58b8a4a0ea761317e398b3101.png][/url]

所有命中规则的外部攻击均会存在modsec_audit.log,用户可以对这个文件中记录进行审计。Log文件位置在modsecurity.conf中SecAuditLog选项配置，Linux默认在 /var/log/modsec_audit.log 。

$ cat /usr/local/nginx/conf/modsecurity.confSecAuditLog /var/log/modsec_audit.log

Modsecurity主要是规则验证(验证已知漏洞)，Nginx下还有另一个功能强大的WAF模块Naxsi。Naxsi最大特点是可以设置学习模式，抓取您的网站产生必要的白名单，以避免误报！Naxsi不依赖于预先定义的签名，Naxsi能够战胜更多复杂/未知/混淆的攻击模式。

$ W. _' R5 z; j  R7 B6 \