利用ModSecurity在Nginx上构建WAF

admin

ModSecurity原本是Apache上的一款开源WAF模块，可以有效的增强Web安全性。目前已经支持Nginx和IIS，配合Nginx的灵活和高效可以打造成生产级的WAF，是保护和审核Web安全的利器。
$ a! ?% ^; s4 `! [! A0 U$ _

在这篇文章中，我们将学习配置ModSecurity与OWASP的核心规则集。


什么是ModSecurity
ModSecurity是一个入侵侦测与防护引擎，它主要是用于Web应用程序，所以也被称为Web应用程序防火墙(WAF)。它可以作为Web服务器的模块或是单独的应用程序来运作。ModSecurity的功能是增强Web Application 的安全性和保护Web application以避免遭受来自已知与未知的攻击。
6 B) C! P) Z/ H* E0 s! X

ModSecurity计划是从2002年开始，后来由Breach Security Inc.收购，但Breach Security Inc.允诺ModSecurity仍旧为Open Source，并开放源代码给大家使用。最新版的ModSecurity开始支持核心规则集(Core Rule Set)，CRS可用于定义旨在保护Web应用免受0day及其它安全攻击的规则。


ModSecurity还包含了其他一些特性，如并行文本匹配、Geo IP解析和信用卡号检测等，同时还支持内容注入、自动化的规则更新和脚本等内容。此外，它还提供了一个面向Lua语言的新的API，为开发者提供一个脚本平台以实现用于保护Web应用的复杂逻辑。
8 F/ q, X0 g0 [0 G. l1 U
6 ^. s1 q8 r$ z3 |) d5 T8 |
1 G# t  \2 L2 B# K官网： https://www.modsecurity.org/

9 `; g5 w" }+ s% L. ~
什么是OWASP CRS
. ~! k4 }! z3 v6 s, h0 _OWASP是一个安全社区，开发和维护着一套免费的应用程序保护规则，这就是所谓OWASP的ModSecurity的核心规则集(即CRS)。ModSecurity之所以强大就在于OWASP提供的规则，我们可以根据自己的需求选择不同的规则，也可以通过ModSecurity手工创建安全过滤器、定义攻击并实现主动的安全输入验证。
& f" o- K$ c' c
7 v$ W: q& B: ^/ n$ d
ModSecurity核心规则集(CRS)提供以下类别的保护来防止攻击。
1 e! W: |! U' d% x. ]; O) r

% Z" H) A3 r1 |; R5 b5 x( [# h! K" WHTTP Protection(HTTP防御)
HTTP协议和本地定义使用的detectsviolations策略。


Real-time Blacklist Lookups(实时黑名单查询)
利用第三方IP名单。


HTTP Denial of Service Protections(HTTP的拒绝服务保护)
防御HTTP的洪水攻击和HTTP Dos攻击。

. K; J- `% a% [: o! X" N
* O. o, M0 W  i( n) JCommon Web Attacks Protection(常见的Web攻击防护)
检测常见的Web应用程序的安全攻击。


/ h* G9 c# ?  v+ y" h7 nAutomation Detection(自动化检测)
检测机器人，爬虫，扫描仪和其他表面恶意活动。


! J9 W9 a9 a, w% VIntegration with AV Scanning for File Uploads(文件上传防病毒扫描)
检测通过Web应用程序上传的恶意文件。

% E0 z+ ?0 s! ?3 Z2 q7 Q$ B5 g
Tracking Sensitive Data(跟踪敏感数据)
信用卡通道的使用，并阻止泄漏。


  Y/ f7 j  ^* h5 jTrojan Protection(木马防护)
检测访问木马。
7 z8 D1 q. F' h+ g% p
) F5 Z8 h' @6 V7 q
, {4 B# H7 R8 r  U. CIdentification of Application Defects(应用程序缺陷的鉴定)
, A" x+ f# g# {8 \% M检测应用程序的错误配置警报。


: y+ X, `' Q- d# j" t8 K6 q# I( lError Detection and Hiding(错误检测和隐藏)
8 ^9 J0 G$ \( f( r+ A& E* }检测伪装服务器发送错误消息。


安装ModSecurity
( W3 r5 @: ]. p9 {: R3 y' I6 I软件基础环境准备
+ Z. G: y; c0 K: }/ R下载对应软件包
$ cd /root
: I) ]# ~+ Q' t4 w" ~' {" t$ wget 'http://nginx.org/download/nginx-1.9.2.tar.gz'
& Z4 N. W- M" B2 F$ k0 W$ wget -O modsecurity-2.9.1.tar.gz https://github.com/SpiderLabs/ModSecurity/releases/download/v2.9.1/modsecurity-2.9.1.tar.gz
安装Nginx和ModSecurity依赖包
Centos/RHEL
; Y* |" C, O- |/ ]

$ yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel zlib zlib-devel openssl openssl-devel
2 t, ?6 x; M+ u+ aUbuntu/Debian
& f, Q9 `3 R- M$ f
8 G- M( G, i1 m- d$ d. k
- S# P. Y0 U7 m6 e$ apt-get install libreadline-dev libncurses5-dev libssl-dev perl make build-essential git  libpcre3 libpcre3-dev libtool autoconf apache2-dev libxml2 libxml2-dev libcurl4-openssl-dev g++ flex bison curl doxygen libyajl-dev libgeoip-dev dh-autoreconf libpcre++-dev
编译安装ModSecurity
Nginx加载ModSecurity模块有两种方式:一种是编译为Nginx静态模块，一种是通过ModSecurity-Nginx Connector加载动态模块。
: p/ `- j' n% D) j% \: A
# I0 t  ?# |2 {. V" {
方法一：编译为Nginx静态模块

* G" j; |3 f6 }9 g# `' ?
9 ?0 k! l$ R: Z0 W  `- S1 t" ~编译为独立模块(modsecurity-2.9.1)
8 N  T$ s& {# e( y% P$ tar xzvf modsecurity-2.9.1.tar.gz
* v- p8 b: P% j7 ?& V* S! p4 S$ cd modsecurity-2.9.1/
$ ./autogen.sh
1 ~' \! F8 K: z. A$ ./configure --enable-standalone-module --disable-mlogc
$ make
7 N% K: K8 A  j5 x编译安装Nginx并添加ModSecurity模块
! l) A& D. }. j) ?$ tar xzvf nginx-1.9.2.tar.gz
) i, e, c+ N/ R0 ^3 ^" k$ cd nginx-1.9.2
$ ./configure --add-module=/root/modsecurity-2.9.1/nginx/modsecurity/
$ make && make install
方法二：编译通过ModSecurity-Nginx Connector加载的动态模块

, n% ?" z2 @$ g; ?! y
编译LibModSecurity(modsecurity-3.0)
$ cd /root
$ git clone https://github.com/SpiderLabs/ModSecurity
, T- e$ p. V/ O9 V8 r5 Z2 U$ cd ModSecurity
8 e9 V/ c+ X5 v: Z$ git checkout -b v3/master origin/v3/master
$ sh build.sh
$ git submodule init
$ git submodule update
$ ./configure
' c+ t+ {  u5 N+ V$ make
$ make install
( U' C: W: i* `3 sLibModSecurity会安装在 /usr/local/modsecurity/lib 目录下。


: T3 M  J8 r3 h" ~- O$ ls /usr/local/modsecurity/lib
0 {, D4 B- B! _, P# Klibmodsecurity.a  libmodsecurity.la  libmodsecurity.so  libmodsecurity.so.3  libmodsecurity.so.3.0.0
编译安装Nginx并添加ModSecurity-Nginx Connector模块
5 y) G& D9 c" l% y5 D2 u$ U使用ModSecurity-Nginx模块来连接LibModSecurity
  o* {6 }3 t' ^! t
# e8 v  i# P5 Q9 E6 }: C
$ cd /root
$ git clone https://github.com/SpiderLabs/ModSecurity-nginx.git modsecurity-nginx
9 Z6 x9 r7 O' [. f$ tar xzvf nginx-1.9.2.tar.gz
$ cd nginx-1.9.2
$ ./configure --add-module=/root/modsecurity-nginx
$ make
9 f) T7 i0 {1 {6 N: A$ make && make install
添加OWASP规则
ModSecurity倾向于过滤和阻止Web危险，之所以强大就在于规则。OWASP提供的规则是社区志愿者维护的被称为核心规则CRS,规则可靠强大，当然也可以自定义规则来满足各种需求。
, C7 {  P4 N9 D
! o% y/ Y; X3 o% }6 m0 G' A
下载OWASP规则并生成配置文件
$ git clone https://github.com/SpiderLabs/owasp-modsecurity-crs.git
$ cp -rf owasp-modsecurity-crs  /usr/local/nginx/conf/
# F, e4 O: \3 i9 U; @& d6 z$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
& T0 w4 }) Q7 b9 o7 a: n9 Q* n1 m$ cp crs-setup.conf.example  crs-setup.conf
: p) `, x) p- I( J# Q配置OWASP规则
3 ~! {; P% Z: d' R5 N7 |7 R% B; M( F% D编辑crs-setup.conf文件

  n& \! m- e; M: l+ I# q
2 h  p4 x8 v3 R% e  B; C" ]$ sed -ie 's/SecDefaultAction "phase:1,log,auditlog,pass"/#SecDefaultAction "phase:1,log,auditlog,pass"/g' crs-setup.conf
$ sed -ie 's/SecDefaultAction "phase:2,log,auditlog,pass"/#SecDefaultAction "phase:2,log,auditlog,pass"/g' crs-setup.conf
$ sed -ie 's/#.*SecDefaultAction "phase:1,log,auditlog,deny,status:403"/SecDefaultAction "phase:1,log,auditlog,deny,status:403"/g' crs-setup.conf
& l; ^: ], E4 }& Y' `' _' g. ~$ sed -ie 's/# SecDefaultAction "phase:2,log,auditlog,deny,status:403"/SecDefaultAction "phase:2,log,auditlog,deny,status:403"/g' crs-setup.conf
默认ModSecurity不会阻挡恶意连接，只会记录在Log里。修改SecDefaultAction选项，默认开启阻挡。


# X% u. l1 e2 y6 K% B( \启用ModSecurity模块和CRS规则
复制ModSecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到Nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

/ b8 D8 `. X6 B5 M; L/ n' r, [3 ]
# ]# m! f& s. d* smodsecurity.conf-recommended是ModSecurity工作的主配置文件。默认情况下，它带有.recommended扩展名。要初始化ModSecurity，我们就要重命名此文件。

- k$ T5 z' @: `: w" z* u* {/ N
. I$ D* P- H4 Q& z, T# Z! W' C$ cd /root/modsecurity-2.9.1/
% L" w8 `/ t; ^" k0 e0 @$ cp modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity.conf  
$ cp unicode.mapping  /usr/local/nginx/conf/
将SecRuleEngine设置为On，默认值为DetectOnly即为观察模式，建议大家在安装时先默认使用这个模式，规则测试完成后在设置为On，避免出现对网站、服务器某些不可知的影响。
( U6 g% G# G: C" n1 l  p' p  R

1 r  ~$ e+ |) i+ e# k. I% q9 T6 |$ vim /usr/local/nginx/conf/modsecurity.conf
& V6 k  K: U" k$ G3 Q$ X4 bSecRuleEngine On
1 e! j: ~$ b) J6 a& j2 h# \ModSecurity中几个常用配置说明：
2 E2 P7 f& x' j* M3 G

1.SecRuleEngine：是否接受来自ModSecurity-CRS目录下的所有规则的安全规则引擎。因此，我们可以根据需求设置不同的规则。要设置不同的规则有以下几种。SecRuleEngine On：将在服务器上激活ModSecurity防火墙，它会检测并阻止该服务器上的任何恶意攻击。SecRuleEngine Detection Only：如果设置这个规则它只会检测到所有的攻击，并根据攻击产生错误，但它不会在服务器上阻止任何东西。SecRuleEngine Off:这将在服务器上上停用ModSecurity的防火墙。
" r$ F4 j0 ~9 H+ {
9 R  k1 B6 g9 E( l
2.SecRequestBodyAccess：它会告诉ModSecurity是否会检查请求，它起着非常重要的作用。它只有两个参数ON或OFF。


, Z+ F; f0 l" S6 q8 m3.SecResponseBodyAccess：如果此参数设置为ON，然后ModeSecurity可以分析服务器响应，并做适当处理。它也有只有两个参数ON和Off，我们可以根据求要进行设置。
. I: Y0 m6 S% z$ ?2 Q  b
/ r6 i" r( O9 H6 L
# \+ F! ], D/ ?  x8 V( V) b8 e4.SecDataDir：定义ModSecurity的工作目录，该目录将作为ModSecurity的临时目录使用。
9 a* @4 m9 R" ?" Z8 m7 U) Y

在 owasp-modsecurity-crs/rules 下有很多定义好的规则，将需要启用的规则用Include指令添加进来就可以了。
( G# O+ t+ s2 o6 @% |) X% u! \
* G4 ~  ~( P" X+ Q
! @9 X2 q+ k9 w( n) E% W3.x版本CRS
$ cd /usr/local/nginx/conf/owasp-modsecurity-crs
% W. v6 m  E3 O( w8 N# 生成例外排除请求的配置文件
$ cp rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
$ cp rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf
$ cp rules/*.data /usr/local/nginx/conf
4 C" C7 z) |1 s) [/ C为了保持modsecurity.conf简洁，这里新建一个modsec_includes.conf文件,内容为需要启用的规则。
4 z2 w# t. n$ y  K0 e3 J; g
% O$ \1 S. ]* I7 s* m+ S- `0 F+ ^
! u8 T0 o+ ?6 R: ?3 ]* x$ F$ vim /usr/local/nginx/conf/modsec_includes.conf

[Bash shell] 纯文本查看 复制代码

include modsecurity.conf
include owasp-modsecurity-crs/crs-setup.conf
include owasp-modsecurity-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
include owasp-modsecurity-crs/rules/REQUEST-901-INITIALIZATION.conf
Include owasp-modsecurity-crs/rules/REQUEST-903.9002-WORDPRESS-EXCLUSION-RULES.conf
include owasp-modsecurity-crs/rules/REQUEST-905-COMMON-EXCEPTIONS.conf
include owasp-modsecurity-crs/rules/REQUEST-910-IP-REPUTATION.conf
include owasp-modsecurity-crs/rules/REQUEST-911-METHOD-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-912-DOS-PROTECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-913-SCANNER-DETECTION.conf
include owasp-modsecurity-crs/rules/REQUEST-920-PROTOCOL-ENFORCEMENT.conf
include owasp-modsecurity-crs/rules/REQUEST-921-PROTOCOL-ATTACK.conf
include owasp-modsecurity-crs/rules/REQUEST-930-APPLICATION-ATTACK-LFI.conf
include owasp-modsecurity-crs/rules/REQUEST-931-APPLICATION-ATTACK-RFI.conf
include owasp-modsecurity-crs/rules/REQUEST-932-APPLICATION-ATTACK-RCE.conf
include owasp-modsecurity-crs/rules/REQUEST-933-APPLICATION-ATTACK-PHP.conf
include owasp-modsecurity-crs/rules/REQUEST-941-APPLICATION-ATTACK-XSS.conf
include owasp-modsecurity-crs/rules/REQUEST-942-APPLICATION-ATTACK-SQLI.conf
include owasp-modsecurity-crs/rules/REQUEST-943-APPLICATION-ATTACK-SESSION-FIXATION.conf
include owasp-modsecurity-crs/rules/REQUEST-949-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-950-DATA-LEAKAGES.conf
include owasp-modsecurity-crs/rules/RESPONSE-951-DATA-LEAKAGES-SQL.conf
include owasp-modsecurity-crs/rules/RESPONSE-952-DATA-LEAKAGES-JAVA.conf
include owasp-modsecurity-crs/rules/RESPONSE-953-DATA-LEAKAGES-PHP.conf
include owasp-modsecurity-crs/rules/RESPONSE-954-DATA-LEAKAGES-IIS.conf
include owasp-modsecurity-crs/rules/RESPONSE-959-BLOCKING-EVALUATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-980-CORRELATION.conf
include owasp-modsecurity-crs/rules/RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

9 F' z! C0 D+ M注：考虑到可能对主机性能上的损耗，可以根据实际需求加入对应的漏洞的防护规则即可。
  M; P- Q* X! M; a

0 n8 y5 y+ l) b配置Nginx支持Modsecurity
* p& l$ r% S4 t- a2 d& G启用Modsecurity
使用静态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：

; d  z) G7 i1 N1 C, Z4 Y
2 r+ b* w# T4 ]3 ^5 C- {! rModSecurityEnabled on;
ModSecurityConfig modsec_includes.conf;
修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。
3 \. I- }- P; }4 u& T0 B

2 E% b) J" \: r, v$ vim /usr/local/nginx/conf/nginx.conf
" g* E' l& X( Q

. @" f# f3 I0 g5 gserver {
  listen       80;
+ o6 d) N8 x/ {% j  server_name  example.com;

) Q2 i2 i9 c" _0 r3 ~; k6 s
( A3 H/ r( \8 u8 u  location / {
    ModSecurityEnabled on;
  q4 }7 n* o' z1 r! u    ModSecurityConfig modsec_includes.conf;
5 e4 n) t# z$ D    root   html;
6 {, h/ S1 n" P( C, g6 y    index  index.html index.htm;
  }
: F( r2 [1 _& I; T' y}
使用动态模块加载的配置方法
在需要启用Modsecurity的主机的location下面加入下面两行即可：
6 X- i( n6 _- S  x+ m! h

modsecurity on;
modsecurity_rules_file modsec_includes.conf;
$ l+ w% `! l+ C/ s" l6 }2 j, h修改Nginx配置文件，在需要启用Modsecurity的location开启Modsecurity。

- N1 j$ G4 I5 L" J. w
9 ?) x+ l3 n3 v. J$ vim /usr/local/nginx/conf/nginx.conf
- }: o# p! M1 Q, q

server {
  listen  80;
4 W+ T% D" ~1 j3 Y+ q  server_name localhost mike.hi-linux.com;
; ]/ O" F: [3 @( \  access_log /var/log/nginx/yourdomain.log;

- _$ j7 }( @) j7 b( {% h
  location / {


/ {) l; q, l: f9 f+ {  modsecurity on;
$ J4 M/ w; \; k7 f7 g7 N  modsecurity_rules_file modsec_includes.conf;
  root   html;
0 y, p) W* i, W  index  index.html index.htm;
}
}
验证Nginx配置文件
9 m' f, Z! H" n$ /usr/local/nginx/sbin/nginx -t
  M  A8 y- }9 Q3 s& r" U$ m( M) Knginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
. z- R  l1 ]0 a3 L7 l: M+ Qnginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
2 Q3 W  o) P2 ]5 Z启动Nginx
$ /usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

* @& y& U0 U# T8 S; ^9 G  i

测试Modsecurity

ModSecurity现在已经成功配置了OWASP的规则。现在我们将测试对一些最常见的Web应用攻击。来测试ModSecurity是否挡住了攻击。这里我们启用了XSS和SQL注入的过滤规则，下面的例子中不正常的请求会直接返回403。

在浏览器中访问默认首页，会看到Nginx默认的欢迎页：

[/url]

这时我们在网址后面自己加上正常参数，例如： 。同样会看到Nginx默认的欢迎页：

[url=http://img.colabug.com/2017/06/842f48f203c6c2cd30144f29b57af97a.png]

接下来，我们在前面正常参数的基础上再加上  ,整个请求变成：

[/url]

就会看到Nginx返回403 Forbidden的信息了，说明Modsecurity成功拦截了此请求。再来看一个的例子，同样会被Modsecurity拦截。

[url=http://img.colabug.com/2017/06/246ce28e95310a32f791893d4f5c55ca.png]

查看Modsecurity日志

[url=http://img.colabug.com/2017/06/ae44dcb58b8a4a0ea761317e398b3101.png][/url]

所有命中规则的外部攻击均会存在modsec_audit.log,用户可以对这个文件中记录进行审计。Log文件位置在modsecurity.conf中SecAuditLog选项配置，Linux默认在 /var/log/modsec_audit.log 。

$ cat /usr/local/nginx/conf/modsecurity.confSecAuditLog /var/log/modsec_audit.log

Modsecurity主要是规则验证(验证已知漏洞)，Nginx下还有另一个功能强大的WAF模块Naxsi。Naxsi最大特点是可以设置学习模式，抓取您的网站产生必要的白名单，以避免误报！Naxsi不依赖于预先定义的签名，Naxsi能够战胜更多复杂/未知/混淆的攻击模式。