nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
: ^' q! M0 e+ d: p3 J9 s
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

, q# Z5 G5 [7 F# @. Omodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

6 n, q1 l' d  e3 U' zOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
6 }1 N: ?& q( U5 y0 V
+ B' W. |5 ^$ w0 t( f; H依赖关系：
, f# T" y* p" q- ntengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
6 y2 w0 b8 T% s
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
: ]3 F2 L8 w' E9 C4 f9 i2 M
4 b5 B. N& O! H5 {yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
6 _) }1 m( a% I( j' X$ x/ _6 K二.启用standalone模块并编译
0 b0 h; ]( Z/ O9 e: A
下载modsecurity for nginx 解压，进入解压后目录执行：
( a& y# ~& r4 s+ f/ p
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
) O. {# A' s" Q/ |! P' z
% A! K9 M4 p$ ?( e% @4 A在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

2 ^2 i5 K% ^, i6 h: H9 X; U3 T$ @./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
5 }  L; [) A: F- ^6 _
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
! p8 ^0 U8 Q, u' F0 ?3 v& ]
# f! c+ h/ u8 L7 t* y- K# J1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
5 x0 |& ~  k8 I6 b* ?2 z
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

& _9 t# T7 @) ~复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

: e! ?5 z8 ^4 z; k: \编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

0 I" t. M) Y" W. S* S' dowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

! _% G8 A( z$ ~; h9 e3 VInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
+ O, Q7 }) A. O2 KInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
1 H3 a0 p# ~0 J# q1 y3 C  `Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
( z8 o3 q! x& \' U2 MInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
8 ]9 v6 V4 C' ?% I, x5 |五.配置nginx
0 u; v7 Y+ n! y2 M7 A' Y) Q
在需要启用modsecurity的主机的location下面加入下面两行即可：
  D! D1 p$ s1 e# P! a
' V( \" N6 q" W( [( n; o# s: u2 \ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
3 U4 B/ ^! p" i( ^0 w下面是两个示例配置，php虚拟主机：

server {
, x/ ^* T  X  B& t      listen      80;
      server_name 52os.net www.52os.net;
- P5 B6 R% z) t, y     
1 g2 x/ H5 ~9 r; Y' f, b* ^" q      location ~ \.php$ {
4 v$ z+ ^* F+ j+ y      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
& }0 \0 H" u: A) y
. D5 v! Z" E/ l" I' o      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
8 x- N+ T0 W3 T, o      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
9 Q, u5 z- p3 Y0 o0 I- N  S6 B, M8 x      }
  }
upstream负载均衡：
5 V1 X3 I' P( E
; P5 f7 d9 F5 y9 h5 \upstream 52os.net {
. i! Z) X) U$ c+ ^5 v    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
' `+ A6 W0 _0 }+ b}

server {
( \7 J4 @% E7 K2 ]% Alisten 80;
& i% V+ B) u. z9 Bserver_name 52os.net www.52os.net;
" k# f7 p1 f2 K  [6 p# ?
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

5 @! I4 O9 v8 h! D6 B5 U        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
/ s8 k1 m# w0 X9 d/ \# A: A        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
) q( ?, q# e6 j0 ~}
六.测试

( H& T8 d1 J5 p) D9 |7 d; _我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
" W9 _& U: u+ m6 ?0 z
) }  m5 `- A! c, z1 U0 d<?php
    phpinfo();   
( r2 q+ [! d# V5 |. f0 e?>
/ N! i( z7 ~0 d+ t在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
/ d+ v# e  j/ O6 V说明sql注入和xss已经被过滤了
6 l2 q3 {. ]. U8 {( [$ _
4 f% e- P$ ?5 o+ e/ a( C七、安装过程中排错

1.缺少APXS会报错
9 a( @. A9 ^* i/ w/ A! R
2 {8 z6 i# d+ @. Cconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
% @- o# w- T  [1 a" v" Dapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
  f' t" z8 f6 h5 L# ^解决方法：

: H7 B  `/ Y) F) k7 i& t& qyum install httpd-devel
6 S/ y* I( e! n+ n2.没有pcre

configure: *** pcre library not found.
configure: error: pcre library is required
. N% y: f+ c( i4 |/ M9 r. V解决方法：

# v& V0 F* N# w) n" Vyum install pcre pcre-devel
/ J5 U2 c0 D$ |9 G5 S* O3.没有libxml2
! H3 Y- S0 H( \2 v6 o0 b; m
8 @- Q& _: _% d$ i$ }
+ C: j. Y& N' _( h# M$ g6 O- D& Aconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
: A3 e& k1 R7 U
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
6 g' B& ?1 w+ m" V) @2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
" _3 B% P* f% T解决方法，移除低版本的APR (1.3.9)
* F: R$ s# x! O6 N1 ?) Q4 j( p
yum remove apr
4 H9 R7 N8 |; t! W9 ?' M5.Error.log中有: Audit log: Failed to lock global mutex
  k- \" n5 W7 {# C0 ?
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
7 Z7 Z3 \+ x+ j% @9 {) g7 D解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
! J" T7 F9 S3 u* r
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
' h1 h4 y9 v' T/ S) t0 fSecAuditLogType Concurrent
7 k1 {( z2 J; H5 q2 d8 X  b2 Q8 N: F/ u参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614