nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
, }2 x, I. E, H8 r
一.准备工作
  G( p- y& ?# r! U% {
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
8 v% C4 Z: m# N8 E
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

. p6 }: [( `6 u( ~+ o! v4 j! MOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
  W! [  s0 N) P, P
依赖关系：
9 b3 h' k2 b+ V! u. [' D2 mtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
/ S/ Z) f( Z* I/ b  P
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

) d& H8 {6 g! |4 Z6 @2 X' w! r- |下载modsecurity for nginx 解压，进入解压后目录执行：
' b1 G8 \$ h% w1 R+ `# A, @
+ S7 p; @$ p& P' @./autogen.sh
5 Y9 s" T" |1 K* \; \# S1 I./configure --enable-standalone-module --disable-mlogc
$ n! y' d! x6 A, M8 Kmake
三.nginx添加modsecurity模块
4 q8 f8 T8 q7 e  I
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
: Y) t! z2 ~! M  b! K7 {
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
* r; w" ^3 b, {( m1 K四.添加规则
- t' I  |8 g0 D* z6 a! H) n# f
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
3 b# U6 }9 n: y7 N
1.下载OWASP规则：

" q# G, P" y- W% [5 u' u* \git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

8 M" [! M5 k& b* I1 i复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
! ~0 w/ M" a1 w! T2 D: t. v
9 U. P* j0 L5 Y  ?: a" \编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

5 m& P9 x6 q2 |  b4 k8 E' W7 }owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

" v* S3 s" ~2 E1 e9 K& N4 J, \Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
: H& C) {) W1 e( ~- B/ _* fInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
/ ?, ~. ^1 o, ^7 LInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
' [" z. a! ]5 y9 ^" G( j; |Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
  n* y  m2 W, c# _* m( \Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
! r( n' t; X; T2 q& ~/ ~Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
  }2 @$ q) Z. s! ]" H五.配置nginx

3 r) D0 @' r& D' q7 h: [1 E在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
& z, n; V9 w- w2 u  yModSecurityConfig modsecurity.conf;
" d) Q8 A- |6 V8 H% Y6 |下面是两个示例配置，php虚拟主机：

server {
8 l' i# j4 K  J/ K( c; R3 T      listen      80;
      server_name 52os.net www.52os.net;
     
6 [% C0 ^9 M5 w- q, X3 t; P  i2 t1 u      location ~ \.php$ {
/ t% G1 r% M2 |, O+ v% X; D0 v0 w      ModSecurityEnabled on;  
, Z  [" m; m% W7 E6 F' w% ~$ s* M      ModSecurityConfig modsecurity.conf;
2 V! Z' U& V! x# ^5 w
7 @8 s8 X# x# E! g- j4 u      root /web/wordpress;
. d# B5 N/ J1 A, [0 ?7 O" V      index index.php index.html index.htm;
8 A# g- O5 e* n& M9 h% `  
" G9 V6 Q" e' F# K      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
  X' J1 y9 ?* n$ o      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
( n. D; u' l8 G7 k( K( I  }
! M* d2 X5 ?( L7 cupstream负载均衡：
# m& V5 B% ^- S- _
upstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
2 R/ \: g( ^& ?}

3 j4 @& `7 |" i3 g0 Q( s. Aserver {
listen 80;
9 p2 h% Q) r* [( a2 c. M) D/ Iserver_name 52os.net www.52os.net;

location / {
$ E* w2 T$ s6 \$ q$ U    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

/ Q1 ^4 C2 n6 u. L1 X        proxy_pass http://online;
4 a8 I( F$ u9 q7 R- z% ]4 w- ~  u/ w        proxy_redirect         off;
* I( l1 r4 ?  n5 p3 P" g* O+ _        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
, U+ \% N8 x6 s" C, g% C- \    }
) X& @, i1 W6 c# {/ V4 @}
六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

, f& c. r5 Z# B<?php
* @" T' T- _& P$ n% ^$ g7 q/ G    phpinfo();   
?>
) L; ?) d( m' B在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
& i; p. E* O' I; |6 Qhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
, F* ?* x9 n8 _4 W说明sql注入和xss已经被过滤了

七、安装过程中排错

1.缺少APXS会报错
$ q& Z6 R3 m% i! n+ p
4 W; ^* X; I! D4 [: r! Z$ yconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
6 k- q) ?# S& i" D3 z, F
2 e- r- C* c* e- Jyum install httpd-devel
7 t4 B& W3 H! v& c2.没有pcre
1 B4 `# _% P6 X* U0 V
' J+ v# f$ N- O$ P7 J; econfigure: *** pcre library not found.
+ K3 U+ X4 V/ F, d  Y3 Qconfigure: error: pcre library is required
/ B4 b2 m$ w& T- t. i. c解决方法：
$ b' V7 {  E; U  v: J( G
* k/ d2 j# E( [& F. G1 jyum install pcre pcre-devel
0 E. m' O! P" n. y  c* }% ]0 X3.没有libxml2

# V+ w& a! X( v" I
2 u+ n% i, b9 j& Gconfigure: *** xml library not found.
9 N- I2 w  y2 l7 e) ]configure: error: libxml2 is required
& d! }/ x8 H( |+ E" R" Z+ L, v解决方法：
  S% J' m/ X* j/ F5 R( R) `
: ~0 m9 ?0 G( Z( D2 [2 C" u1 \yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
  J2 u5 d6 N2 d' s  ]+ i
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
# ^* ^. ]! @8 m6 g7 [* A; ~原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
+ |. S( e$ t6 l+ n
  s# C5 M7 [) ^% A" y, Q4 Z8 g. d2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
( Q, t, Z2 V, \4 \2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
% |1 I% {. Y. {; F! \2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

6 d, M; K% [0 M3 [7 d. q- W* N. w0 ryum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
2 k% V, n3 J% o$ z
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
+ m; ^9 w* i3 z! k" ^global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
3 |1 k* |2 D/ N- ]解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
# ^$ f  l% k9 H8 q- _8 q5 bSecAuditLogType Concurrent
" M( u  ^+ x+ I7 \/ Y参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614