nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
# g$ T; E# D) }# n% R
6 o# b, m, x, D+ u- H一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

6 @* T: F! A8 x0 ]" z9 y  ztengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
. x2 t8 |9 e" G  g4 L( l) |3 B
2 z( f7 j2 B0 I9 f3 f! n8 ^$ k2 Smodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
* L0 g; S# F# I
3 c  i# f) t$ Z4 r4 [  ~OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
7 O, i: c: e7 I
4 X  u. d3 Z) o( C' E2 f0 G依赖关系：
: r9 Q8 r0 n4 x( Qtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
9 r7 |6 c# L/ q, x5 ]) Q
# h" F. h! L  j8 S; Nyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
% ?4 t0 \1 J: ^1 r' g
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
7 g/ e% I+ h/ K, `二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
% f$ i; W' t. g) U* L4 g
, F# v5 d( H4 s./autogen.sh
. x; H4 y1 @2 c0 C8 d./configure --enable-standalone-module --disable-mlogc
8 }% C6 P) [4 k1 Tmake
7 u# O# |* B! f4 ~三.nginx添加modsecurity模块
4 u4 ]$ i5 x  p1 G8 X+ r
) Q3 w& V) C# Q4 k  f& L3 t# P在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
1 J' ]) |4 @' x4 S; fmake && make install
3 _0 E1 V" R) n* ?6 J& K四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
* T- ]6 e3 I2 }! ]) i" h; r
1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

5 k( t, Q% ]/ B( e8 X0 e9 k2 u( T: Xcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
( F+ G# V0 a6 K1 R5 i# X- u: @, T2.启用OWASP规则：
3 F  n# G& o; T/ ?2 N' S
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
, I2 j0 T$ {" r/ F& ^! a; y
, u" }3 X/ Y1 X" f4 u( a在需要启用modsecurity的主机的location下面加入下面两行即可：

, ~4 t7 \; l+ G; t& l1 LModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
; h6 ?+ O" S7 [) i; j& Q7 y# E9 `下面是两个示例配置，php虚拟主机：

( t0 \( z( L4 T, k- }server {
      listen      80;
9 F+ {7 d/ }2 m0 Z1 O      server_name 52os.net www.52os.net;
) `8 A1 U/ ^) ]     
% _) c' N$ r0 c8 W# S  b      location ~ \.php$ {
) @8 k7 P  H7 Q% _' }3 Q3 k      ModSecurityEnabled on;  
% G$ L8 c5 I3 C& E      ModSecurityConfig modsecurity.conf;

0 b2 T$ f; ~7 e( K/ N! M& G& A      root /web/wordpress;
' q' [' T: ^( v, B/ {! h      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
+ ]4 g, J* Q6 J9 W0 j      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
9 G$ J" @* C/ Y* {6 U2 \4 k3 G0 D      include        fastcgi_params;
      }
4 y% O& Q4 k5 {1 G1 }0 Y  }
* N5 c" B  y8 c9 e) e  vupstream负载均衡：
) }% Q4 Q. Y, B( f
upstream 52os.net {
: w- l) J! e- g# c1 H    server 192.168.1.100:8080;
  i7 M- @) T$ c4 Q5 p+ t; x- P/ Z/ Q    server 192.168.1.101:8080 backup;
+ L- k9 R9 R* J* e3 K2 V}

server {
listen 80;
4 }# ]+ K* Y# V$ S$ hserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
2 q, k! L2 X2 O; }- w; E
1 n% o2 b, X! I2 D$ h- u1 `        proxy_pass http://online;
        proxy_redirect         off;
' N3 d- |; B' h& i4 U        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
) Z$ J  {0 ?. u( A% e0 P    }
" L, ]5 W( V& O: `5 F6 p}
, e3 d' z; R4 p1 O六.测试
8 H% M4 r  Y' T. x
. _! K) v: N5 n( H3 q我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
3 k9 u: {! C9 u; U/ z3 g. ^  T/ l/ n4 q
<?php
    phpinfo();   
+ F- X4 l8 U5 I: {/ P+ W% `?>
在浏览器中访问：
/ q% U$ w. k& Q& l2 V
http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
" d/ u) s, V- `) Phttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
) }) b0 y' z2 ^& _' E  N" ^6 [
8 I  c* J( [& P0 h9 d& q七、安装过程中排错
$ c& V: Y! o) l1 t
1.缺少APXS会报错

& S! W4 f4 @* z  Q: v9 _) V7 sconfigure: looking for Apache module support via DSO through APXS
% Y8 V+ X0 n# v8 a$ A+ Wconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
) O  b! `1 K/ C+ }* |! K( r
! ^) T' x' L' [4 `  L0 q/ U! Lyum install httpd-devel
( [3 Q7 s* Q' M1 p6 V0 X$ {5 S  l2.没有pcre
& x* X. V0 a9 C) o, Q, S1 A
configure: *** pcre library not found.
configure: error: pcre library is required
( P! C6 H& u7 Q% R- C) n# @/ V5 b解决方法：
# H$ E1 `1 E. K
yum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
, Q5 T) g0 E3 Y/ J! cconfigure: error: libxml2 is required
) O5 \  m' }0 [1 y% ^/ O5 ?解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
7 m0 O3 @% G) _* }+ R
9 x3 ^, S2 d# a8 t$ vTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
9 G& v" |$ P( r. I- }+ M原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

3 V7 V4 j- _" O! \! _0 t# ^' }2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
4 c3 S: _7 U# \( J2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

! ?, W( h1 u8 v3 u- E! }7 `yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
, S! U- W# s; o3 Z9 h" l" G
: X2 ~. C( G, y$ U. M2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
; Z7 S9 q1 q. u, H( c2 |3 A解决方法：
  ]: T, Y: ^" @; k) A+ w编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
/ N8 c7 b& C$ L8 ?( C# I3 F, x9 |
+ h" C, H7 @% m& q6 @6 kSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
; l& L% M$ N. ]5 h% rSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
- |* C( e" b9 t* Q- u参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
# t! t& ]  }" |9 X$ ohttp://drops.wooyun.org/tips/2614