nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

5 }3 S! O- _0 [- i- O6 g' m系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
; E3 E& K9 c' f
8 X- @5 s8 }; W* p0 otengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
8 \% L- g! }& J" U$ W4 ^
0 A2 U/ ?1 m* m6 C+ }) E3 |modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
2 W" S: b0 W8 @2 h  x
" Z$ u! _9 J5 a. O, wOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
# P. K! a" E* M$ e9 C
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
1 G- f: z9 H+ N
, @" k  @- [$ h5 v1 E; Kyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
# {# ?* Y+ Q4 ~% b5 a# [* Qmodsecurty依赖的包：pcre httpd-devel libxml2 apr
0 U: L' e0 U" \: B- L3 ^4 ^1 h
' g; y2 E7 |! n4 _1 U2 V, \yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

3 x1 @! K! P& [( Z$ ?! _7 t下载modsecurity for nginx 解压，进入解压后目录执行：
3 W+ V& i7 C6 P2 I* q  p) F9 s( t
./autogen.sh
& u- _. J9 z  W) H./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
) y7 a- S& A- l  S% {
9 J, m/ p% _; a7 T! j( V; k在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
2 e2 w+ |/ |% O- y  Vmake && make install
四.添加规则

# Y) h7 q( y# w* d$ D2 f) Cmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
' Z7 D9 i* l/ u$ K7 g) j
mv owasp-modsecurity-crs /opt/tengine/conf/
, Q( d8 z2 c1 r
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
3 S4 U) M' m7 a6 O' _5 w
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

8 l8 o* _5 Z% howasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
+ [! f8 S( O! T. r( ?Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
0 z5 N- w2 x. ~4 J1 j五.配置nginx

, J: L& q; U0 I! k在需要启用modsecurity的主机的location下面加入下面两行即可：
9 F. Q/ A+ v% V% I9 t2 \# t1 ]
2 Z/ S2 s7 F0 uModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
4 `8 X/ K9 U8 u下面是两个示例配置，php虚拟主机：
4 b) z3 G! B* h+ f7 y, i4 z
  Y' R' @  Z( L1 ?3 ~server {
0 z" p' T: ^6 V. \8 I& Q% V      listen      80;
      server_name 52os.net www.52os.net;
     
( M0 \- M. l* H% t( q      location ~ \.php$ {
- q- F5 V6 @3 o2 o# |/ m* V      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
/ T* D7 ^1 r# J7 t8 t
8 [0 f( |2 ?: ]7 }/ a/ t: M      root /web/wordpress;
      index index.php index.html index.htm;
$ v: l1 C+ W+ I, c+ a  
      fastcgi_pass   127.0.0.1:9000;
9 m" P! g4 x( O! J: o      fastcgi_index  index.php;
5 N* e# }9 |. h/ w  Y      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
: V' g+ o0 i/ v0 A# x# [  i" j      }
; @( z( B7 t; Y1 |( z& V0 S' R  }
upstream负载均衡：

6 V: b* |) r. \/ r; Pupstream 52os.net {
    server 192.168.1.100:8080;
6 ^% r' j/ K( q7 p! |    server 192.168.1.101:8080 backup;
}

server {
! c7 Q3 A2 f% H5 s5 S& U: o3 Mlisten 80;
server_name 52os.net www.52os.net;
. @! o8 }  C2 X3 m* N( E
) @: {# e5 P2 u' llocation / {
" A8 @$ R) U* z" I    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
" O7 ?7 X+ s% N
        proxy_pass http://online;
/ }7 ]# m/ g" I: A  v/ l8 B6 b        proxy_redirect         off;
4 ?( u4 k6 s0 Y+ _2 D        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
% u, K" M/ u, T9 U  a}
六.测试
3 ^: U' _; e( h$ T+ f
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
$ Y7 q6 Q/ w. ?" [
<?php
) `1 b$ F  x* Z8 h5 }5 m$ \- }    phpinfo();   
?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
8 j0 Z  r2 e, S+ Nhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
) S& ?0 E7 i$ K9 K1 Fhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
, o" c" n6 T7 c4 I: i" V
七、安装过程中排错

7 D# C9 B" A+ t# p1 B) g  @  w1.缺少APXS会报错
1 d3 Z" }1 m& t) \! y$ m9 E  Z
) `; C& D# A$ `, qconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
6 s! @: c' G1 [# t' t* ?
yum install httpd-devel
4 Q! O- f: J. S- a& D2.没有pcre
5 {. o9 d! q: G3 ~+ Q( U) s3 k8 n
% K* s$ j) b' C& Jconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
3.没有libxml2


9 @- n5 |1 d. [! s' wconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：

8 n5 Z1 K5 D! E( ]6 jyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
' Z0 u, z1 I2 ?6 B! @+ Y- r
5 L9 @: ~4 U# i, @2 ^: lTengine version: Tengine/2.1.0 (nginx/1.6.2)
, n, Y3 K6 k7 p9 U: dnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
7 b6 ]/ U3 h! [1 s9 W原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
) h7 o# F! x5 ], x# H- O9 _' s2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
8 m# R' x% D, a2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

+ w8 P! @3 ^- e; fyum remove apr
6 Y) {  ]2 _/ n- F- O9 w5.Error.log中有: Audit log: Failed to lock global mutex

; n4 `5 Q. B3 _; r, j2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
& v9 R  \7 I1 H, W2 ~' [8 f6 \( n) V解决方法：
4 n# T: i% `4 T$ t1 Q0 N; v编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
4 {7 [# L* H+ J0 `& j
& a% D# O* Z. T7 ySecAuditLogDirMode 0777
  D# k4 I+ H0 w: R( j4 NSecAuditLogFileMode 0550
$ F: g8 @4 `2 I2 J' W  ?3 q+ bSecAuditLogStorageDir /var/log/modsecurity
  c8 O! x4 T! r% ]1 dSecAuditLogType Concurrent
参考文章：
) F: X1 I6 y  B; c# ~! Ihttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
3 W& M# n$ b! Q% X; Q8 ^! ]http://drops.wooyun.org/tips/2614