利用ModSecurity在Nginx上构建WAF

admin

ModSecurity原本是Apache上的一款开源WAF模块，可以有效的增强Web安全性。目前已经支持Nginx和IIS，配合Nginx的灵活和高效可以打造成生产级的WAF，是保护和审核Web安全的利器。
# S% x( T& L' \5 Q4 H
' ^) p1 ]' {+ H& o8 j
% G+ S7 X8 L2 N, w  ]& p) s在这篇文章中，我们将学习配置ModSecurity与OWASP的核心规则集。


6 Y/ w5 z" ?0 b1 I5 r  P什么是ModSecurity
# k: c# R* p# D; I: w, BModSecurity是一个入侵侦测与防护引擎，它主要是用于Web应用程序，所以也被称为Web应用程序防火墙(WAF)。它可以作为Web服务器的模块或是单独的应用程序来运作。ModSecurity的功能是增强Web Application 的安全性和保护Web application以避免遭受来自已知与未知的攻击。


7 O4 j0 B2 v: M; v& k1 HModSecurity计划是从2002年开始，后来由Breach Security Inc.收购，但Breach Security Inc.允诺ModSecurity仍旧为Open Source，并开放源代码给大家使用。最新版的ModSecurity开始支持核心规则集(Core Rule Set)，CRS可用于定义旨在保护Web应用免受0day及其它安全攻击的规则。

, m& U" D3 `. a' m- `& B5 C. C
! _8 g3 r+ J$ U' d" @5 F) w; ?ModSecurity还包含了其他一些特性，如并行文本匹配、Geo IP解析和信用卡号检测等，同时还支持内容注入、自动化的规则更新和脚本等内容。此外，它还提供了一个面向Lua语言的新的API，为开发者提供一个脚本平台以实现用于保护Web应用的复杂逻辑。
$ v0 x; U2 {+ C1 l' X: k
4 g. B9 C- [1 y  l' V) v- N
官网： https://www.modsecurity.org/

2 r5 C  Y7 r* W' `% }. m' [
什么是OWASP CRS
OWASP是一个安全社区，开发和维护着一套免费的应用程序保护规则，这就是所谓OWASP的ModSecurity的核心规则集(即CRS)。ModSecurity之所以强大就在于OWASP提供的规则，我们可以根据自己的需求选择不同的规则，也可以通过ModSecurity手工创建安全过滤器、定义攻击并实现主动的安全输入验证。


ModSecurity核心规则集(CRS)提供以下类别的保护来防止攻击。
! u" U; {4 [4 c& n  P* F* c7 _
& r% O4 [$ v# z  W$ m
HTTP Protection(HTTP防御)
HTTP协议和本地定义使用的detectsviolations策略。
5 y4 p* }# i  B: G. x# j
( {  L: ]7 i% o1 m* e$ c5 i
* L9 ]" b: {  U- k# _Real-time Blacklist Lookups(实时黑名单查询)
' o1 w: ~, I8 D" o4 H  P利用第三方IP名单。
4 {7 H! q* @! M/ [( h% W, o
- a; Z* i6 J, k' W5 D
HTTP Denial of Service Protections(HTTP的拒绝服务保护)
9 Y* d- G& G) u/ f, V防御HTTP的洪水攻击和HTTP Dos攻击。
! |. B4 j" u  M: c/ J$ k, g

Common Web Attacks Protection(常见的Web攻击防护)
+ N" p- A( P, X1 e检测常见的Web应用程序的安全攻击。


5 x  e$ ]- A/ j3 }7 m& R3 ]) H* o" KAutomation Detection(自动化检测)
4 O. K! S' L9 N1 P+ W$ Y" x7 q检测机器人，爬虫，扫描仪和其他表面恶意活动。
* [5 x# o* r5 J" z
& ~. j* K3 L4 s; D" u' s
Integration with AV Scanning for File Uploads(文件上传防病毒扫描)
检测通过Web应用程序上传的恶意文件。
: p( A& J2 e! ^* B. |( r9 P, o3 I: _

6 L' g" M2 X& x4 V8 J1 ZTracking Sensitive Data(跟踪敏感数据)
* {5 n# `" n! V, r信用卡通道的使用，并阻止泄漏。

4 t3 p' M2 C0 Q$ @2 c
% n* v, H% V- ]6 j$ z3 E; [Trojan Protection(木马防护)
* i+ w4 I/ u. w( a! D检测访问木马。
  h( C0 F* b# @/ _
* L. }0 v# s$ `0 _
: ?3 f8 O% }5 |$ |! w. W4 o1 m: ?Identification of Application Defects(应用程序缺陷的鉴定)
- {' F& }/ s! D9 ?! ]检测应用程序的错误配置警报。


Error Detection and Hiding(错误检测和隐藏)
7 c2 R& U( b4 h. d1 \" L' X0 s检测伪装服务器发送错误消息。


; O: ?$ n& F2 |8 d' y% F3 R+ E安装ModSecurity
软件基础环境准备
8 Q! F- p8 o1 ~1 F* y3 a5 `8 |, r4 r下载对应软件包
$ cd /root
; W: G, M, W* B3 `1 G7 b, I$ wget 'http://nginx.org/download/nginx-1.9.2.tar.gz'
$ wget -O modsecurity-2.9.1.tar.gz https://github.com/SpiderLabs/ModSecurity/releases/download/v2.9.1/modsecurity-2.9.1.tar.gz
8 ~, a9 ^. D7 L: h安装Nginx和ModSecurity依赖包
- B: j' A& ]! yCentos/RHEL
) [- t, l/ t( ^8 ~) H' s
- P1 H  K; |  ^8 d4 U0 T
' b; @( R  {" C' ~& B5 h$ yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel zlib zlib-devel openssl openssl-devel
) G' j! F1 b, o  M7 ^# A8 \Ubuntu/Debian
7 C+ l6 l( i5 w# I

) n' Q5 X  s6 P- \0 k  }. @( \$ apt-get install libreadline-dev libncurses5-dev libssl-dev perl make build-essential git  libpcre3 libpcre3-dev libtool autoconf apache2-dev libxml2 libxml2-dev libcurl4-openssl-dev g++ flex bison curl doxygen libyajl-dev libgeoip-dev dh-autoreconf libpcre++-dev
& L% T/ d1 ?" Y编译安装ModSecurity
) U# }3 N' Z8 v: h6 Y- s. l- `Nginx加载ModSecurity模块有两种方式:一种是编译为Nginx静态模块，一种是通过ModSecurity-Nginx Connector加载动态模块。
# L: i) \, P/ m% F/ D7 Y' E# R

方法一：编译为Nginx静态模块
& ?$ ^+ R8 d* H( w
7 l! I! P* {3 L5 J4 Y4 N! P( `
8 V: N# l3 R9 t' x编译为独立模块(modsecurity-2.9.1)
$ tar xzvf modsecurity-2.9.1.tar.gz
$ cd modsecurity-2.9.1/
; }. G+ n2 q% B; C3 b- g8 r" d& M8 q$ ./autogen.sh
0 g0 t4 b" y* X: P0 {% W$ ./configure --enable-standalone-module --disable-mlogc
9 V+ u# X# E: B: y3 I  ~$ make
: n) t, R  [+ Y编译安装Nginx并添加ModSecurity模块
$ tar xzvf nginx-1.9.2.tar.gz
, a  a% `' L, @+ J: D$ cd nginx-1.9.2
$ ./configure --add-module=/root/modsecurity-2.9.1/nginx/modsecurity/
$ make && make install
方法二：编译通过ModSecurity-Nginx Connector加载的动态模块
  {$ x8 O" S( [3 H. G0 {% e+ S% b
! \) ~+ Y: _" |% Z) y
编译LibModSecurity(modsecurity-3.0)
2 z. h' I! p5 o: {: X5 ?$ cd /root
$ git clone https://github.com/SpiderLabs/ModSecurity
$ cd ModSecurity
$ git checkout -b v3/master origin/v3/master
$ sh build.sh
$ git submodule init
; t* Q( l; D" P$ L' v$ git submodule update
: Y! j0 m5 e- `/ X1 N" ^6 [% c5 g$ ./configure
3 @  X; Z$ H! u3 [$ make
3 `; |8 f0 |8 E( @2 k( u8 h8 F5 z' q$ make install
LibModSecurity会安装在 /usr/local/modsecurity/lib 目录下。
+ y0 `# F( \6 g5 q1 @$ x
5 g! z, f0 ~( \1 G; \. {- [6 h
$ ls /usr/local/modsecurity/lib
libmodsecurity.a  libmodsecurity.la  libmodsecurity.so  libmodsecurity.so.3  libmodsecurity.so.3.0.0
编译安装Nginx并添加ModSecurity-Nginx Connector模块
; j! ]$ z7 W8 F9 q0 e; J( |使用ModSecurity-Nginx模块来连接LibModSecurity

/ |6 Z" j7 ~( R% }; L' }
5 J2 Y  U, r0 q$ \( Y' {, A$ cd /root
2 E' ^% y; |- [2 P$ git clone https://github.com/SpiderLabs/ModSecurity-nginx.git modsecurity-nginx
$ tar xzvf nginx-1.9.2.tar.gz
$ cd nginx-1.9.2
$ ./configure --add-module=/root/modsecurity-nginx
$ make
. \6 g- M& k, w) J0 ]2 U, s. L$ make && make install
添加OWASP规则
) _9 {( V, ]9 ~8 oModSecurity倾向于过滤和阻止Web危险，之所以强大就在于规则。OWASP提供的规则是社区志愿者维护的被称为核心规则CRS,规则可靠强大，当然也可以自定义规则来满足各种需求。
4 p3 ]7 a, q3 X, n7 i  h: N5 C

下载OWASP规则并生成配置文件
" F: `. t( C0 ^) b/ R8 n3 ^$ git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
$ cp -rf owasp-modsecurity-crs  /usr/local/nginx/conf/
- J( Z$ m: h; ]' S" N* r$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
  \, E9 ^; }- y9 R  G* q$ cp crs-setup.conf.example  crs-setup.conf
/ r& Y. W" \; e配置OWASP规则
9 F' o- [* b9 v' W/ }* T+ B, Z2 W编辑crs-setup.conf文件


0 E: `& D8 g7 E$ t% p8 b* |$ sed -ie 's/SecDefaultAction "phase:1,log,auditlog,pass"/#SecDefaultAction "phase:1,log,auditlog,pass"/g' crs-setup.conf
$ sed -ie 's/SecDefaultAction "phase:2,log,auditlog,pass"/#SecDefaultAction "phase:2,log,auditlog,pass"/g' crs-setup.conf
9 }, f( y) D' M$ sed -ie 's/#.*SecDefaultAction "phase:1,log,auditlog,deny,status:403"/SecDefaultAction "phase:1,log,auditlog,deny,status:403"/g' crs-setup.conf
$ sed -ie 's/# SecDefaultAction "phase:2,log,auditlog,deny,status:403"/SecDefaultAction "phase:2,log,auditlog,deny,status:403"/g' crs-setup.conf
默认ModSecurity不会阻挡恶意连接，只会记录在Log里。修改SecDefaultAction选项，默认开启阻挡。

9 i8 U, U0 w4 q! y% J
启用ModSecurity模块和CRS规则
+ G- l/ u6 }" f% h3 }) l复制ModSecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到Nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。


modsecurity.conf-recommended是ModSecurity工作的主配置文件。默认情况下，它带有.recommended扩展名。要初始化ModSecurity，我们就要重命名此文件。
& K1 E8 z: q2 u

$ cd /root/modsecurity-2.9.1/
$ cp modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity.conf  
$ cp unicode.mapping  /usr/local/nginx/conf/
将SecRuleEngine设置为On，默认值为DetectOnly即为观察模式，建议大家在安装时先默认使用这个模式，规则测试完成后在设置为On，避免出现对网站、服务器某些不可知的影响。
- z& O" L. x* P  r
) V. ]: S3 e9 m- a4 s. I
$ vim /usr/local/nginx/conf/modsecurity.conf
SecRuleEngine On
. E0 H+ r, K) N4 p6 nModSecurity中几个常用配置说明：


+ E( T$ g. |( Q- {/ L' I1 B0 p1.SecRuleEngine：是否接受来自ModSecurity-CRS目录下的所有规则的安全规则引擎。因此，我们可以根据需求设置不同的规则。要设置不同的规则有以下几种。SecRuleEngine On：将在服务器上激活ModSecurity防火墙，它会检测并阻止该服务器上的任何恶意攻击。SecRuleEngine Detection Only：如果设置这个规则它只会检测到所有的攻击，并根据攻击产生错误，但它不会在服务器上阻止任何东西。SecRuleEngine Off:这将在服务器上上停用ModSecurity的防火墙。
9 _+ ]: J( k! F( T$ o) X

2.SecRequestBodyAccess：它会告诉ModSecurity是否会检查请求，它起着非常重要的作用。它只有两个参数ON或OFF。
7 A  h: G; j4 A+ F
2 P! B. \# n% `! x5 ]
4 b  R" q  u+ ]9 ~! o- L0 }0 [3.SecResponseBodyAccess：如果此参数设置为ON，然后ModeSecurity可以分析服务器响应，并做适当处理。它也有只有两个参数ON和Off，我们可以根据求要进行设置。

' Z: F) Y! ?* U
4.SecDataDir：定义ModSecurity的工作目录，该目录将作为ModSecurity的临时目录使用。


在 owasp-modsecurity-crs/rules 下有很多定义好的规则，将需要启用的规则用Include指令添加进来就可以了。


3.x版本CRS
$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
& p- |8 X3 E6 w& @# 生成例外排除请求的配置文件
$ cp rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
$ cp rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf
5 p) S% P' S  T5 q' ~' N$ cp rules/*.data /usr/local/nginx/conf
* I/ U" D6 W- N为了保持modsecurity.conf简洁，这里新建一个modsec_includes.conf文件,内容为需要启用的规则。

5 F, N: y3 O' \. R- S4 y' U
$ vim /usr/local/nginx/conf/modsec_includes.conf

[Bash shell] 纯文本查看 复制代码

include modsecurity.conf
include owasp-modsecurity-crs/crs-setup.conf
include owasp-modsecurity-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
include owasp-modsecurity-crs/rules/REQUEST-901-INITIALIZATION.conf
Include owasp-modsecurity-crs/rules/REQUEST-903.9002-WORDPRESS-EXCLUSION-RULES.conf
include owasp-modsecurity-crs/rules/REQUEST-905-COMMON-EXCEPTIONS.conf
include owasp-modsecurity-crs/rules/REQUEST-910-IP-REPUTATION.conf
include owasp-modsecurity-crs/rules/REQUEST-911-METHOD-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-912-DOS-PROTECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-913-SCANNER-DETECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-920-PROTOCOL-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-921-PROTOCOL-ATTACK.conf
include owasp-modsecurity-crs/rules/REQUEST-930-APPLICATION-ATTACK-LFI.conf
include owasp-modsecurity-crs/rules/REQUEST-931-APPLICATION-ATTACK-RFI.conf
include owasp-modsecurity-crs/rules/REQUEST-932-APPLICATION-ATTACK-RCE.conf
include owasp-modsecurity-crs/rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf
include owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf
include owasp-modsecurity-crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf
include owasp-modsecurity-crs/rules/REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION.conf
include owasp-modsecurity-crs/rules/REQUEST-949-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-950-DATA-LEAKAGES.conf
include owasp-modsecurity-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf
include owasp-modsecurity-crs/rules/RESPONSE-952-DATA-LEAKAGES-JAVA.conf
include owasp-modsecurity-crs/rules/RESPONSE-953-DATA-LEAKAGES-PHP.conf
include owasp-modsecurity-crs/rules/RESPONSE-954-DATA-LEAKAGES-IIS.conf
include owasp-modsecurity-crs/rules/RESPONSE-959-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-980-CORRELATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

$ b! i6 s. \" ~! T4 q5 q; t5 ^5 H
注：考虑到可能对主机性能上的损耗，可以根据实际需求加入对应的漏洞的防护规则即可。


配置Nginx支持Modsecurity
( l/ S, v: m* W1 f4 t8 |启用Modsecurity
使用静态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：
# `3 p, Q7 d  R2 z7 f
% y9 L/ P! N. m+ \$ I  X% Y+ s
ModSecurityEnabled on;
% {! ~% C* X0 X1 @/ l" W) M% m# [ModSecurityConfig modsec_includes.conf;
修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。

7 V& G9 P$ b8 z0 i* ^  r
0 I, ~& T9 S* w) V7 h: F; }$ vim /usr/local/nginx/conf/nginx.conf


5 w# a3 J0 C/ ]( g' P# Lserver {
: T: s1 ^- _! B$ B7 F2 h  listen       80;
9 A3 O* I6 G  [5 z" }  server_name  example.com;

: b: J" w( G  p  S* m
  location / {
    ModSecurityEnabled on;
& R1 _2 m5 L% g    ModSecurityConfig modsec_includes.conf;
% R- @; y( Z( Q1 j6 @) }! R    root   html;
    index  index.html index.htm;
9 m; }5 t" u. c4 \; p  }
}
& X, @* b# d% t0 w) \0 P/ K使用动态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：


- h+ f1 }0 h2 f( d( T6 f7 Gmodsecurity on;
; q2 U4 y0 L, C/ Nmodsecurity_rules_file modsec_includes.conf;
% R# B; x8 d3 [. H7 a% r. O修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。
! H9 G" B! \' u8 x

# I+ d! W8 D- X$ vim /usr/local/nginx/conf/nginx.conf
) ?1 p: ]( a7 w! F0 Q

" g3 C# Q4 C) E0 |9 i* H: r6 @3 kserver {
  listen  80;
; \( v; }1 p$ W( U  server_name localhost mike.hi-linux.com;
  access_log /var/log/nginx/yourdomain.log;
0 Z; H) n4 y' L8 t
* Z- A2 G. A/ [( T$ q4 {5 H
  location / {
) {8 t8 g. h* f' V# V

7 C/ c5 |2 ?4 v0 l  modsecurity on;
  modsecurity_rules_file modsec_includes.conf;
' p# V) g4 P/ q4 ]% O  root   html;
  index  index.html index.htm;
}
4 U0 Y) L" K5 f}
验证Nginx配置文件
$ /usr/local/nginx/sbin/nginx -t
! n/ j6 Z7 l8 y; V* cnginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
% I' X- i6 {9 Y5 j启动Nginx
$ /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

* Y/ h$ q+ M. q) `6 d

测试Modsecurity

ModSecurity现在已经成功配置了OWASP的规则。现在我们将测试对一些最常见的Web应用攻击。来测试ModSecurity是否挡住了攻击。这里我们启用了XSS和SQL注入的过滤规则，下面的例子中不正常的请求会直接返回403。

在浏览器中访问默认首页，会看到Nginx默认的欢迎页：

[/url]

这时我们在网址后面自己加上正常参数，例如： 。同样会看到Nginx默认的欢迎页：

[url=http://img.colabug.com/2017/06/842f48f203c6c2cd30144f29b57af97a.png]

接下来，我们在前面正常参数的基础上再加上  ,整个请求变成：

[/url]

就会看到Nginx返回403 Forbidden的信息了，说明Modsecurity成功拦截了此请求。再来看一个的例子，同样会被Modsecurity拦截。

[url=http://img.colabug.com/2017/06/246ce28e95310a32f791893d4f5c55ca.png]

查看Modsecurity日志

[url=http://img.colabug.com/2017/06/ae44dcb58b8a4a0ea761317e398b3101.png][/url]

所有命中规则的外部攻击均会存在modsec_audit.log,用户可以对这个文件中记录进行审计。Log文件位置在modsecurity.conf中SecAuditLog选项配置，Linux默认在 /var/log/modsec_audit.log 。

$ cat /usr/local/nginx/conf/modsecurity.confSecAuditLog /var/log/modsec_audit.log

Modsecurity主要是规则验证(验证已知漏洞)，Nginx下还有另一个功能强大的WAF模块Naxsi。Naxsi最大特点是可以设置学习模式，抓取您的网站产生必要的白名单，以避免误报！Naxsi不依赖于预先定义的签名，Naxsi能够战胜更多复杂/未知/混淆的攻击模式。

; I+ ]: i/ b; ~/ E3 y