nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

7 f: K2 R  ]6 `9 i/ ~; O一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

4 ~3 G6 o% @8 K2 v( v. N7 b( q( vtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

6 R3 v% h4 }" q$ i6 bmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
) `# ~) }' \, B" m
7 G6 @: i* [- p# o2 i依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
5 K$ b! r4 x. g! Q9 n' R' D
, N2 g( c% R! H+ Eyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

/ O; t. Z" \4 n7 x3 D$ [yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
5 o) B$ v- s6 s: w; V二.启用standalone模块并编译
/ u: A4 H! K* E/ y! o3 f8 m
  J2 P6 D! {" x下载modsecurity for nginx 解压，进入解压后目录执行：
& ]- b3 D; x4 c
% ?) Y+ i* q, N: b2 u./autogen.sh
./configure --enable-standalone-module --disable-mlogc
+ b( H7 S3 X' n$ Z4 d$ S  H3 kmake
' h& a; o% K7 V( z; ^  O三.nginx添加modsecurity模块

0 P/ u, L8 [' w7 w. C在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

! l* |! a; q+ Z./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
/ a7 M+ w: e3 u9 A' r* j" _make && make install
. A  Y# H! T& x四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
0 h! m$ v, e2 ^( [
1.下载OWASP规则：
! S% {3 [3 G7 c
, P5 e5 L- O; h5 X. \) M/ c1 fgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

% d' W6 L* f! L" |cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
( B+ v9 P: \1 C# g' a  x
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
9 v8 U' M7 C3 F
2 F6 U# x! l" Y, B0 x1 o3 i4 Nowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
. j. u7 v5 n0 s9 s4 Z
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
# b  k; w; u$ ^: N5 M# f* lInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
! Z7 T/ m$ ~" \; t- KInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
+ D- o, u1 C: B& E9 O五.配置nginx
* V5 \( ~- N" M( G
5 H6 g8 y9 O( w; H) @- i& N在需要启用modsecurity的主机的location下面加入下面两行即可：

/ ^4 i  c- c: m8 J( v  O& y  VModSecurityEnabled on;  
0 L6 X, `3 R  @) w7 R% C3 V6 w* oModSecurityConfig modsecurity.conf;
( `8 I/ Q  ]5 v% G下面是两个示例配置，php虚拟主机：
! [7 M3 c% N3 a9 Z% c6 D- O
8 j0 V7 n: A( Q8 e( [0 J) }server {
      listen      80;
      server_name 52os.net www.52os.net;
; \5 d9 a# G# O3 ?2 t0 V     
      location ~ \.php$ {
4 X( _4 e7 F/ ~% f      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
      index index.php index.html index.htm;
  
4 y! g5 x6 D- {% l, ^      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
5 F' ^! c+ c& i- h      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
2 o0 Q$ r' ~' {6 F) T      }
  }
upstream负载均衡：
3 f6 A# I* u& U* F  {
  j9 ^9 K6 i2 W7 o' U8 U5 R( Supstream 52os.net {
6 o) H; j& R/ E* Q/ N, c    server 192.168.1.100:8080;
8 z% v7 X' v* x! l6 G    server 192.168.1.101:8080 backup;
}

, @5 @  v2 C# t6 mserver {
$ M* g4 p: x, ^6 p8 Glisten 80;
' k& j- W9 ?% p# H* q2 [) @server_name 52os.net www.52os.net;

' X. K) x$ O1 J% D2 ]8 tlocation / {
    ModSecurityEnabled on;  
% ?- a* i; G6 n    ModSecurityConfig modsecurity.conf;  
/ i1 }: i' `" V% R! U- U
7 ?/ R8 f- Q0 h7 ^- Q        proxy_pass http://online;
        proxy_redirect         off;
9 @# ]3 b/ ?2 Q3 V        proxy_set_header Host $host;
3 A" i3 v4 n0 \3 z+ d. J* E        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
6 p" [& B2 P0 W# R/ v  c}
六.测试
) ?3 n5 Y# S$ X" p' n5 b% f6 A5 e7 y5 X
2 w  ^3 i- q; M9 x% a# }, L* I我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
, H9 `. ]* k" w( w/ m" s+ E. \* Z    phpinfo();   
. h1 ^% u2 J% h$ t/ f0 ??>
) S5 V; a( l, \* W在浏览器中访问：
6 m- s) x+ f) H1 U( l5 ?# s- G- R
" f9 O% m1 e% G& N  Whttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
: [2 i' b* z$ E5 C1 g- |4 zhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
, _6 i! E2 x- \6 S7 w! r
6 L: y" a( w; C* H七、安装过程中排错

1.缺少APXS会报错
0 G! z2 c( I% q3 }) }
configure: looking for Apache module support via DSO through APXS
# K  @2 U6 n, Kconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
. ^6 F+ @% W4 D7 T: i! b6 N2.没有pcre
6 p% C8 q* H+ j4 }# q& F9 n! q9 B% V
4 T- W0 G+ K; N$ F- f: ^% nconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：
* M# K- U1 f, G5 N% Q
4 m, w" ^/ y. K! y( z' nyum install pcre pcre-devel
( v: |( N. Z  T" r/ L3.没有libxml2
! E* o2 O! d: X& ^# z. o0 o

configure: *** xml library not found.
configure: error: libxml2 is required
- A0 G2 D" b2 e# g' Y解决方法：
# Q9 u) k  l6 a; l4 x+ M
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

5 e4 J, ?2 M9 ?- i% y" JTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
( P; N8 f- J. a7 I% R, O7 D原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
/ U3 S+ S6 S5 ~2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
4 Z; L) y  K. m' f$ |2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
* w% t. O0 Y5 f. @5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
! m7 p- j9 @( G$ g/ g8 gglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
8 X+ Y- Q) c- a; S0 n$ A4 B# T解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
/ }( g* y  T* j6 w8 [SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
1 k" E. Y7 s  P( T$ D$ e参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614