nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
2 T# \8 v5 w  w# S; g$ F+ n  `
3 e  R/ X! w' W+ G: S0 B8 Q1 x: j一.准备工作
* q  E- ]# s2 L+ t. P7 m$ e
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
4 q$ K6 v  o: Y. q
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
% z/ B( U$ O9 n: Q7 M( A, W- z
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

: H: G  k) l/ G) c" l. P依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
2 a# S) Q) P7 H1 D' d; |: d- q
# f% x5 B4 R# G6 `8 Byum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
5 }8 Z7 ^9 C: w
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
. l7 L# p2 G' a# @/ I
, x& {0 E7 T! ?) e' m, V0 `./autogen.sh
. x: n8 Q5 _$ Z+ z4 Z8 A, D6 ?./configure --enable-standalone-module --disable-mlogc
$ G, o0 Z, p* I+ i" [( q# X/ pmake
0 J5 o  m: b/ E! g+ A$ d4 k) P三.nginx添加modsecurity模块

* L: A' E, j% @4 q- l" `在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

% u6 M" d: q+ \5 U./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
" _* V* N9 i& C; o5 ~* n  E
0 Y, o* s1 _/ T* |) k1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
4 \: V, Y8 V+ ^
mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
5 }" W4 E4 |, ~  E* i
, ^0 C8 [7 L: J, a+ F0 j1 r% D编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
9 z6 M1 {; ?5 B& B, o3 U) [) Y
; X4 k( z2 u8 H' D' n+ ZInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
) m5 V/ P0 D% b" l: A- x+ _Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
0 s( z& l( b. N: s: ^7 DInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
& u) T3 c  e' R3 M: E: BInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

2 A' a  b  Q: e% s9 P/ P9 A; I9 w9 L7 T在需要启用modsecurity的主机的location下面加入下面两行即可：
* _1 U: ^$ {. o. P5 G
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
# l: ]3 ]% W3 H0 b下面是两个示例配置，php虚拟主机：
3 I( E4 {  y. Z+ l; n- F/ W" x/ i
- g; X: j* Q  c3 w1 wserver {
0 }% }6 }7 @' H2 r/ b7 q3 \      listen      80;
      server_name 52os.net www.52os.net;
( q. Q: s3 p: ~     
      location ~ \.php$ {
5 q: W4 @/ T8 T* B7 o7 j      ModSecurityEnabled on;  
+ m" r8 M$ B5 m; e; u      ModSecurityConfig modsecurity.conf;

; a3 n) `$ H' |+ A8 G( o      root /web/wordpress;
      index index.php index.html index.htm;
  
7 q; H4 X8 G0 M& Q* \" i2 K" Q7 F" ?      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
1 C6 V% d! D& p+ j2 B      }
  }
7 d8 m4 `4 ~' u, I6 ^upstream负载均衡：

4 _, b$ t8 K& n# s0 a0 W" gupstream 52os.net {
0 F9 ]  X8 C& h, M) G    server 192.168.1.100:8080;
0 q2 G: H  h1 j" n    server 192.168.1.101:8080 backup;
1 K% C* H3 M, o7 b# u7 u}
# i6 v% O# E1 @7 b
server {
3 V' A; `; L+ P, Clisten 80;
server_name 52os.net www.52os.net;

location / {
" }- A! K% B2 f6 h0 E+ l    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
6 P7 s3 X! H1 @; F  M
  S1 i* s* g* H9 d' v; F        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
* _. X! |4 z2 ^: g" P8 P2 j/ Y        proxy_set_header X-Real-IP $remote_addr;
6 D, V  F  f2 I5 H        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
0 C' K7 _0 u4 M( q. s2 X! ~5 x}
六.测试
8 S/ ]" V: q) V4 e" l4 t
* r% O: k, v9 U1 ?! w我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
+ t: i( ]- X4 D2 K) j$ {  Q6 D    phpinfo();   
( c6 M% e1 [3 ]3 O* H?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
9 F& J$ d: i0 @4 d! Vhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
% E& O  A- y* b$ K2 [" Hhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
3 G, Q9 b" w3 A6 r
七、安装过程中排错
  I4 B- X% z8 A. b4 G
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
: j) H8 ]( ]7 Sconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
6 H3 P1 I3 V0 \- I% `# v/ f
yum install httpd-devel
2.没有pcre

3 z) H  e* r: S+ ~4 x) nconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

. N. }1 I  @* s3 H: ]  Ayum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
+ n( ?5 [( a( |. ~  A& c- qconfigure: error: libxml2 is required
解决方法：
1 ^4 e! t; C7 |1 I$ ]3 y# u
yum install  libxml2 libxml2-devel
. C% K% r% \5 u4.执行 /opt/tengine/sbin/nginx -m 时有警告
: M9 m3 g. t% R( ^2 M! I3 K$ a* e
$ L. j4 o# s4 _$ jTengine version: Tengine/2.1.0 (nginx/1.6.2)
) c4 ]0 w% }1 P/ \3 b8 J; K4 rnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
) o6 Q/ e: U: u: X& Y4 k) ~原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
6 ]- C' k1 q/ X2 U) t7 k2 F
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
# J. h# I% a; x5 E2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
! v% Y' O$ K' |. r2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2 q: w& K9 a2 |  d2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
- Q. D+ A9 }  p3 k" a2 R8 w解决方法，移除低版本的APR (1.3.9)

  c5 ^2 w& i0 }! `' qyum remove apr
& ~+ g* X! G' _6 z4 E; b. ]5.Error.log中有: Audit log: Failed to lock global mutex

" ?: M& g1 I$ j1 Y2 o' M) Q5 k2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
" ~9 P8 _7 B: Q3 F% [global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
4 S6 n7 f: A* z8 `+ T/ F+ M0 ]解决方法：
$ Y4 `/ ]$ o1 \& m编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
1 f7 c+ Y  _( @1 b
; Z$ v8 T$ i7 [0 d* Z$ |SecAuditLogDirMode 0777
2 g( F: o2 a, |) i! bSecAuditLogFileMode 0550
- c9 }" \% H9 R# `  L3 `SecAuditLogStorageDir /var/log/modsecurity
* \8 |; u& S  I; LSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614