nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

) H6 |! h" ~+ k一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
# t- \" q4 ]. I& ?
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

/ E: P2 i% H6 o2 d: s: L1 {" e* gmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

" y& \. {  o) @& s5 S5 a& _7 Eyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
0 P7 U* Z$ A  g# R
$ y/ \' ~4 F  N' ^1 D' G& G% K8 M" Hyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
9 @2 n3 d) `* I% v二.启用standalone模块并编译
: o1 o! v2 @0 X5 g! |1 [9 P, a7 p3 i
下载modsecurity for nginx 解压，进入解压后目录执行：

0 p5 t4 \% k/ I) l./autogen.sh
' e+ N, U6 k8 h6 Y0 i./configure --enable-standalone-module --disable-mlogc
3 ?3 j( }4 d# Hmake
三.nginx添加modsecurity模块

( ]8 W. J# d8 v8 G在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
0 V9 B% w' ?. {4 h- X4 b7 Z6 o
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

" _  {2 c7 v! }! S" p2 i9 Y4 q1.下载OWASP规则：
- Y2 z& F0 o  E
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

4 z3 f& ?6 ?& ]3 fmv owasp-modsecurity-crs /opt/tengine/conf/
) d0 {1 L1 S. T. f1 p" }* C
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
# q  x7 f* ^* |6 p' C  L9 l
8 I) f1 F9 H" {) P复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
# z6 ^, `: T/ Q7 D& R) Z; y
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
' ~: {& i9 H+ s
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
1 x, {, X4 I% s8 P$ _" c" C+ VInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
0 O' `6 Q8 y  e- k2 S4 yInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
4 P7 b, j/ h% Y) P: Z* {4 m+ wInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
" h, u+ d$ P/ T! tInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
( P# a7 |% ]8 M) s五.配置nginx

( E! k' ?' k9 [1 B. ~% w/ V. @在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
7 Z& L* Y8 j) R6 w/ r' yModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
$ A8 ~+ `& x$ n( p/ n* J      ModSecurityConfig modsecurity.conf;

" m' R3 W7 d6 U  a; V      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
: x6 B  X! l1 I% A3 o      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
0 `" C6 S! Y) k# k! X* V/ J      include        fastcgi_params;
      }
  }
9 r) a, E3 o( \# e0 xupstream负载均衡：
. ?9 J) g" s# b/ z, p
( w; @8 R4 P& D& t+ I' ^( Lupstream 52os.net {
* x2 R* U! [9 H/ }8 p" _$ P  U    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

server {
listen 80;
: r* e7 P; A+ f% jserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

% ?' M* o3 l  e, d# p  C        proxy_pass http://online;
        proxy_redirect         off;
9 v! J' k& ]- [1 i. j        proxy_set_header Host $host;
. F) S. ^% k; H, q; W0 B' I6 X" z        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
8 l( C4 p7 ^* L8 U7 G- f7 W) K六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
6 \1 r; P2 ^+ M3 \0 g
# f/ z! ?8 l1 _$ {2 Q! V( N* V; V4 _<?php
, ^" H! N3 _7 R, u2 @' A8 \, j* i    phpinfo();   
2 j6 K6 C+ L; c2 K?>
- S7 G; V& m) B" `在浏览器中访问：
' x8 x- k9 }: I
; G+ N2 d7 B% N9 D  r4 R5 |http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
% g5 y8 c2 U0 I" C/ T
七、安装过程中排错

3 h" [" N$ H# K6 b* v; t& N1.缺少APXS会报错
! h  l2 {1 i, t/ p, G$ p0 |
0 o2 [2 |- a. `; ]% j8 }2 S4 E- _configure: looking for Apache module support via DSO through APXS
5 U2 W; [! ?' d5 `( kconfigure: error: couldn't find APXS
5 d3 B% h3 R( V* x: H; sapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
* `: y7 L/ E! C解决方法：
4 }8 L6 o% S) A: f# s/ p
! s9 M, P; J' s5 \yum install httpd-devel
$ k) q! w  J6 Q& A' }2.没有pcre
% r, x1 P, ^  l) {
0 b5 v2 L) u6 o/ j: D' bconfigure: *** pcre library not found.
& }- ?. j8 }" n" n8 _configure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
. m3 N, L/ e) T- ?9 W7 a& d6 _- `3.没有libxml2

1 ]& g0 V! b0 k9 G2 `4 Z
" s5 N0 q2 |* jconfigure: *** xml library not found.
6 r3 S/ U2 X, ^; }2 P$ m1 Aconfigure: error: libxml2 is required
解决方法：
+ W# a' U" |. p) N
' }' E, o; s' {; z7 B/ Jyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
+ H; f, p- f2 jnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
6 K7 n3 Z) H1 ?5 ^; [
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
$ V) Y) F# A( Q2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
6 ]% k5 w% G% S. J1 K2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
/ L/ Q& c2 G7 c4 K8 h! [7 |* d解决方法，移除低版本的APR (1.3.9)
0 C8 L1 d1 y% n$ }* C) U) \% I
7 r3 ~- q( V: F7 i/ vyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

+ }$ m& `* I6 }( Z' A9 T2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
% e0 d, Y3 L" i, e; e: q编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
; H! [; E5 T' u! I# N4 \; PSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
; A1 r: z' Z4 {6 q8 \7 zhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614