nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
* i- }; E. v! e
一.准备工作

7 R8 s' q! i+ J" [/ @* R7 a系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

+ d! d4 d* p5 z* K3 }# \6 u3 l9 ltengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
, E  Y. p) n1 J( S7 K, F
0 J3 i% U5 \; X% {" fmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
1 J0 J8 I$ c: y5 L( a
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
& @' e4 P) e/ n0 x8 Y+ Ptengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
$ o1 U& y' I! c) S* k) |
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
5 l! f0 c; w2 }$ y4 v% B
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
. g' x/ X6 l. a- ?( b, f5 K3 f
3 n1 b* z% U+ U& F. x下载modsecurity for nginx 解压，进入解压后目录执行：
% a( Y, o# X% ^8 T. K- o, ^
, j2 K0 k& g. w( |6 l1 u' ?./autogen.sh
./configure --enable-standalone-module --disable-mlogc
6 `! m( w" G7 Y9 rmake
0 ]+ U/ J& n. n. k* U4 K# z三.nginx添加modsecurity模块
3 s: b0 k: K7 L' A' P, V
0 h. I+ \  E+ x在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
, B4 P) [1 W2 _: r
' m" U% o; ?( Y3 j1 j! {5 G8 O./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
! f' K% e; f" d. Amake && make install
5 k( ?) V4 U4 e2 t% t6 e3 ?% H* n& x四.添加规则
' Z% N- D; L' w2 C
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
7 Y( s% S4 [( c4 v5 h
6 g# x* h2 v/ T5 I4 A1.下载OWASP规则：
8 S- L: Y' i  n1 d( c
! {% v8 ?1 B4 Vgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
+ N% i- ~" D& Y4 E& {
mv owasp-modsecurity-crs /opt/tengine/conf/

$ T/ Y- G. Q1 I) l  zcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
9 I* o7 v% W( m1 Z2 T3 n2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

# B, v% _* K) g+ |! i- w编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

+ m. a% z3 H5 E9 @owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
. {4 [. g$ Y0 |Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
1 C$ `3 D# Q8 v9 n0 g) h" gInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
* U- L- u- P8 f# o% g; xInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
4 ?; C; ]6 s  \, {
: ^) w6 G$ m4 D* Y  G在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
2 r5 v2 ]' i$ }+ K* DModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
  `) c% G- s8 H4 }$ e9 |
1 B- }7 k! y7 a5 Y' S8 X3 `! pserver {
4 _- s8 g" \5 p3 J      listen      80;
- H) q! k$ T  p$ Z: @( n; L& b' f      server_name 52os.net www.52os.net;
8 a3 [9 [% ]2 k) r4 C  K/ ^' f) p! e     
0 u  z4 B1 J! r' `6 L      location ~ \.php$ {
      ModSecurityEnabled on;  
" p+ f' w9 b1 @      ModSecurityConfig modsecurity.conf;
7 R- t4 c# V6 d7 {7 x
      root /web/wordpress;
  Q8 j% ?. B" a* `) V      index index.php index.html index.htm;
7 q8 k9 d; O3 D- V/ F+ ]3 a- i  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
' Q& {% ^+ p# X0 `$ {9 a      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
  n5 Q  q3 a) u& ~! b* Y      include        fastcgi_params;
- a* P" ~3 S5 \& T+ V      }
  }
& R7 N- E" j+ @2 v3 W, O: y! pupstream负载均衡：
! C. t6 J* b* H( G) D  k7 D
: |0 K1 j2 i0 s1 \# oupstream 52os.net {
* |4 G6 @2 s& y, y2 s  q    server 192.168.1.100:8080;
! {% P4 {6 D3 M% ~* e/ D    server 192.168.1.101:8080 backup;
: O, H. g- K1 V}

server {
0 p4 z. q! e6 u8 F9 f* mlisten 80;
# r; d: @4 Y" Nserver_name 52os.net www.52os.net;

) V! ?' ~$ @* f' b* Xlocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
6 e$ ~1 e( ~* W3 L4 G: {
- v" t; j/ N' z! g, l6 P2 O3 e        proxy_pass http://online;
2 a  ?& |  w5 j1 \        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
# R. F$ s* {" N        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
; s7 z- s+ m$ P- |+ D}
六.测试
" c+ ]) b* i/ `# Y4 K7 f7 H( R
2 o* B; _+ ^+ _& Z" e3 w' {我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

( x1 s% j5 t% E% @* o0 [7 }6 P<?php
    phpinfo();   
?>
* K: `2 i' j4 ?" ?在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
6 K- X0 l7 W, e$ t2 V  V说明sql注入和xss已经被过滤了
- T! F- I; X8 ]- Z  I
七、安装过程中排错

4 b% z( M3 T5 y5 s; o3 @2 u1.缺少APXS会报错

/ \3 ?8 y4 V$ n% f& Sconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
" N& [$ l$ G/ oapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
& K7 ]5 a5 e2 q& u
- Y# \2 ^- n4 K: kyum install httpd-devel
2.没有pcre

4 H: @, ]* S  wconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：
& y5 M6 h! L5 B
2 a0 t: |7 H! t8 uyum install pcre pcre-devel
3.没有libxml2
! L7 M7 y3 z; j) f) }/ u

8 f$ T) [  F" u  x  G, t0 R% r/ bconfigure: *** xml library not found.
0 {- Y" B  Q# K% N1 R/ t  Tconfigure: error: libxml2 is required
解决方法：
1 `! `+ U; i: K* X
$ T0 i8 T- y8 F, ]' kyum install  libxml2 libxml2-devel
0 O  X! r" W8 w  b6 s4.执行 /opt/tengine/sbin/nginx -m 时有警告
$ p0 {  d! h- t, j" a+ j
' z% n) X# h9 R) J6 R% E8 HTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
# d, Z9 V: O8 s" d0 ?原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
+ J5 A1 O" m) f
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
9 _! [4 K) |6 g% D7 k/ d: C0 l. y2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
7 ~: S# B: H6 X# z, \* P2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

$ B. W- ?6 C2 p. ^/ Cyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
( z' q5 Z+ N$ F
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
5 ]1 B- t, k) x( fglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
7 U" t0 F& Q2 q+ H, J, D3 R, w$ s编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
$ O6 W; q2 A7 I+ ^. p+ T
3 Y8 D- U+ G# zSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
& f% n/ c, U9 s% k' K; B& D( f3 @SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
; S+ d, P4 i  W  m( X# X$ `参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
2 ^% A- R& V+ X; s# chttp://drops.wooyun.org/tips/2614