nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

. J- n) k) S1 u5 G6 ]系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
+ R0 Q; {$ `1 r9 v
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
+ ]8 p9 W9 A- P( E! V+ A
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
, `5 q3 x+ X7 t0 v/ K+ F8 Y
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

1 b) k- B7 {  U& P. gyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
' U5 M  {8 {2 {5 F4 |  \! F2 Emodsecurty依赖的包：pcre httpd-devel libxml2 apr

' v, h4 a# J1 ryum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
) n- ~5 y0 c3 ~0 j! A2 z2 l5 I
下载modsecurity for nginx 解压，进入解压后目录执行：

) r& x2 N) b9 y$ T( g0 H9 `8 M3 E/ N+ l/ D5 D./autogen.sh
./configure --enable-standalone-module --disable-mlogc
, V( b8 X1 p6 I' I7 F  C  }, Tmake
( C  Q& Z4 w7 a  h三.nginx添加modsecurity模块
6 i, G# K- F7 Z6 o3 Z
& p5 I6 M* [' V/ V5 n0 O在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
8 S* K* v; u, j! q6 c四.添加规则
# s4 m4 |! ^% N; D; |4 l5 b3 d( i0 L/ p
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
6 u, N8 e) J' j
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

8 M! m7 G$ w, _3 |/ tcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
8 _( w* c3 R+ s9 y. m
; z/ z( c5 |8 Y0 Y% ]6 I& B. l. x复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

, n  I7 H, M. q0 V# v" D; Q. U+ Oowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
2 w) O0 j' V# Z1 a3 G" G
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
* c" N. e7 v# B# p$ X2 n0 @, U5 i$ ~Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
) T! P( m. S. F6 T! oInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
# b9 l. [. R0 W& O1 ~  iInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
7 M0 |, q0 L7 l$ w, U$ G' H, RInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
0 w; b1 [) L, A" K$ r0 g: Y五.配置nginx
8 m0 X2 F. T9 r
0 J9 }9 j; k9 v3 ]2 o7 |在需要启用modsecurity的主机的location下面加入下面两行即可：
5 S' g0 b% b2 @
* j, q, u/ ~9 G+ H' rModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
% z, q; a8 l- b1 g
server {
      listen      80;
      server_name 52os.net www.52os.net;
5 R! {& K- `) Z+ {     
      location ~ \.php$ {
      ModSecurityEnabled on;  
6 s! e$ u) y! Q) L: i! V      ModSecurityConfig modsecurity.conf;
: v/ @5 A) r' ?- w: p. R# M2 r
9 s6 m" O* x+ `) N      root /web/wordpress;
0 _! n) ]& Q9 ~% {, h2 ~1 z/ m      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
7 g# j; `. F: R- z; s: G      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
5 c3 b7 I9 a( j5 S& N6 A  }
4 o3 `" L/ _3 x" Q' Lupstream负载均衡：

- p( w" O$ \* s8 {2 |upstream 52os.net {
    server 192.168.1.100:8080;
& p  p/ M( x$ b6 r; G/ N, g) ^; U( _    server 192.168.1.101:8080 backup;
$ Q& X" g% c9 o) V2 G}
$ z6 q. A0 {8 _' v9 n
server {
: E9 N: j) e: F0 V$ y2 ]6 Rlisten 80;
server_name 52os.net www.52os.net;
. T3 e/ b! S* i, P
3 S0 F0 G  s+ g% Elocation / {
# R0 d& J8 [8 a$ O! ?    ModSecurityEnabled on;  
" ]  S$ a% Y' g    ModSecurityConfig modsecurity.conf;  
; j* _8 f+ ]- N0 ^3 g2 ~; l
: z# n! Z0 ]! t2 A" c' v' G" a        proxy_pass http://online;
& l' ?, F" c& T6 e8 T        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
# R* a$ E5 `% C, m        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
* F8 s1 b" E* }. h( q1 Z: ~. z0 W六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
8 X( b8 a3 [7 E% i?>
5 [( |! S* a" h0 q4 k2 i在浏览器中访问：
4 e: |0 ~) \& l% h/ N
http://www.52os.net/phpinfo.php?id=1 正常显示。
' j8 `4 E1 A' mhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
9 H9 K/ Q9 e. W, G4 t  c( nhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
1 h+ {. M3 D& a$ y$ d4 Y/ S说明sql注入和xss已经被过滤了

' d5 W/ U. q- g6 R0 q七、安装过程中排错
2 `, V, O4 M( A. a
- f9 u1 l* U2 F9 `) p1 Y0 ^9 Y; }# x1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
2 B% |, k- A. Oconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

$ p2 V% `2 a: l  }' h) y* h+ o; `, Kyum install httpd-devel
2.没有pcre
  j5 h0 w/ _5 _$ L3 `9 e: X
configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：
9 k) S6 w/ k* b- j
. G, E& d/ ]6 f; H& y* O8 H/ pyum install pcre pcre-devel
$ \: r1 K5 K6 \3.没有libxml2


8 d8 o, ]# z: T: [6 P5 kconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
5 b6 ^# p6 c  I# u  n5 T; ~( u1 ^( ~
yum install  libxml2 libxml2-devel
0 o- r$ P3 [8 `, \6 @) j4.执行 /opt/tengine/sbin/nginx -m 时有警告
+ M) E! G3 a- x% M1 B% v  h
, G: F/ }1 D0 Y0 t2 o, A8 F8 ~+ ~6 ITengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
0 @9 \% O# {" |0 h0 R原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
4 b- W' l1 k  l9 B) u9 ~! Y
' M$ y  Z1 {# S1 ^2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
! p) J+ `  F7 g6 W7 v; T$ x+ t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
- [% d! a( C" S解决方法，移除低版本的APR (1.3.9)
( ^; G4 Y( Q  |
yum remove apr
, P* R9 y3 S0 V3 K5.Error.log中有: Audit log: Failed to lock global mutex

! e$ ^/ U# L# `0 z( `" ~' K/ j2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
3 |/ O6 {- Q/ e8 g# Y5 ]$ S3 J. c编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
$ o! J. b, T/ F7 j, D: S5 T. M
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
' Y5 ?$ E' }* f& A0 b" K5 ySecAuditLogType Concurrent
( d/ r, W6 B, V参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
  i4 A6 [# ^- g+ @: ?0 chttp://drops.wooyun.org/tips/2614