nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

7 _  X+ ?5 j5 K! t; L3 o) s# s9 D$ |一.准备工作

# H: \" U8 E2 b# Z% u系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
4 |( k  o9 ?5 Z; ~; V
! E6 I, a) ~- w; n" a9 `tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

  E; v7 E( V, _1 J1 ^modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
( X3 e4 t2 W) P( I
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
9 e' l# t# u; Q( _
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
5 a' r/ M. Y) ]) g* _5 S
% r: w5 L  ^- f8 e% a  Zyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
# Q% p3 e* e7 l( H/ f; Tmodsecurty依赖的包：pcre httpd-devel libxml2 apr

8 j9 R! \8 W& F0 [0 X/ u: x% X# ?yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
# [( l; G; Z4 [9 S* u6 @# G7 E
" r) i5 e2 [5 T% R: ~/ H下载modsecurity for nginx 解压，进入解压后目录执行：
, Y8 z: i4 t7 P9 {
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
0 b8 i) U& H" ~三.nginx添加modsecurity模块
% H. I% B* l- \& x& q0 l1 x& ~, C+ F
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

7 a1 b4 I2 K0 n  e+ H/ v7 J3 d+ c; x./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
; K6 @9 d4 R5 X9 _! A. M: A! F5 Omake && make install
四.添加规则
, h& a) q+ X3 M4 P. _0 E3 I" _
( B! ~1 ?3 ~' @# }# Gmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
+ T3 U, U' \7 ]" `2 `: b6 r
; Z3 L# A5 H* X( V3 N% B' L! }git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
- A/ d% I+ l( U  [7 k, f8 A2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
6 I! r* Q" ~2 d
) `/ h+ v, Z, u6 Y6 @& Powasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
+ {, o/ w6 g  z- G5 c
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
- e. J" q4 I) g* V4 `# uInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
% C! J! ^/ T3 I4 Z- y5 F五.配置nginx
3 J: J  T* t& }( A% ]9 {2 a$ Y
, m. }1 k, X6 e! f5 Y8 K: p在需要启用modsecurity的主机的location下面加入下面两行即可：
! E( ~9 r- C8 O9 H1 K
ModSecurityEnabled on;  
9 Z1 r* \8 g$ c1 jModSecurityConfig modsecurity.conf;
+ R1 b0 Z" e) {. T2 \4 y下面是两个示例配置，php虚拟主机：
+ x  m% x( e  e# q# v+ n& J) P
& c8 M, P+ I" l% A+ {server {
      listen      80;
      server_name 52os.net www.52os.net;
     
$ @, G" u) S( Q( a+ ?      location ~ \.php$ {
, a& G0 }; B/ N9 S' N; R      ModSecurityEnabled on;  
1 d" o1 b, m) v; x6 R      ModSecurityConfig modsecurity.conf;

% ^8 A: w7 |( o  z      root /web/wordpress;
      index index.php index.html index.htm;
  
7 B$ q6 F; `) V' w9 l6 s+ J      fastcgi_pass   127.0.0.1:9000;
3 {+ n/ d) j( P* F/ |      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
" x& z: g# Z$ u! p- X1 g& X      include        fastcgi_params;
$ X7 s. l3 N0 L* ^6 P% B      }
  }
2 q; y7 u, p6 d' y% z  mupstream负载均衡：

% q7 H+ n0 v! f. `8 Mupstream 52os.net {
    server 192.168.1.100:8080;
, r3 D4 o+ I' T1 T5 ]" ~+ ?    server 192.168.1.101:8080 backup;
* a: f! d/ Q; p0 X}
! x2 R2 C9 I2 m7 u% p/ g
server {
0 @% h& V3 z7 B6 E4 Y6 }8 `listen 80;
server_name 52os.net www.52os.net;

! K6 l0 m3 e8 Olocation / {
! J: p) z1 C- l9 w8 ]; v    ModSecurityEnabled on;  
  v# P! g1 d( z9 a    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
) Z- x. K2 v7 n, F2 U* e( Q$ M7 l    }
}
- A5 K) |) A' H% `& C六.测试

/ d0 s0 q& k  r+ E& d/ }: Y我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

9 ~* @  @- d  M6 ~2 E<?php
    phpinfo();   
?>
/ S0 G6 K+ b) j8 ]' Q# d在浏览器中访问：
( G& [9 d9 k9 I% q* \5 Z
http://www.52os.net/phpinfo.php?id=1 正常显示。
" d5 s; Z4 H9 Dhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

, O0 t+ j5 Q* U七、安装过程中排错
/ b9 j3 s4 \* D1 ]2 V, R( \3 N
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

0 ^( Z& H1 H: L, U9 ~, X& Y( Oyum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
configure: error: pcre library is required
7 a7 g  H9 ~9 T: F/ W: B# O& a4 v! K解决方法：

; R9 n8 U- a5 E% @yum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
" A4 X0 i- p3 C, l; g, D0 b0 b解决方法：
/ N) h6 H% H% O- |2 A
yum install  libxml2 libxml2-devel
: {( Y. S* N! F3 \$ z4.执行 /opt/tengine/sbin/nginx -m 时有警告
+ h7 V) d8 P$ i# B
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
! r0 K. _5 F2 G' M+ Snginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

4 M$ ?/ X: Z, h# o  L2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
1 g; a- @# _, H8 A5.Error.log中有: Audit log: Failed to lock global mutex
# p0 v% O& z3 W* s" U
; z6 `5 R  U' [6 v% T9 }2 u* E2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
5 ]+ p8 k5 L7 P' Y编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
2 u. ]* Q- |# ]* V7 ?
SecAuditLogDirMode 0777
& a3 X. Z8 ]' p3 _* ~7 eSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
) s" `* E9 c" fSecAuditLogType Concurrent
参考文章：
* k; d6 L) H( e2 Shttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
' k0 y1 E: i, shttp://drops.wooyun.org/tips/2614