nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

/ F9 y. V$ D  J9 g; i系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

$ z4 M' g6 l$ X1 j; SOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

9 E$ H; J3 K% @依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
# g& i- z' B: X4 E5 ?" ?9 u
- F  W$ P6 V$ i6 K' p6 A. T& P( Jyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
/ y3 F- l( C$ W; ^8 v1 s
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
: g5 }6 x+ E/ i* _make
5 Q) ]% K( ]2 `. A4 m三.nginx添加modsecurity模块

2 z, T1 m2 R) y# M7 \在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
7 c0 k" X, E8 I/ X
1 X% V! R( K$ Q0 l+ {) H./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
. T2 Z) g/ W5 l( c& \/ ~四.添加规则

- }. H) D1 c0 B6 m7 Rmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

. ~: e+ {3 k4 H7 ^5 z6 @1.下载OWASP规则：
( t1 `7 \* g% m$ P+ U
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
" B9 a) Z  G+ `5 }+ b
9 c8 r3 o6 y, c+ D6 fmv owasp-modsecurity-crs /opt/tengine/conf/
! \2 r# K0 Q) ~. B
' t8 {' _: E( L( pcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
9 V/ Z. n& J. k0 C) a4 K2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
% l4 |2 ^9 M$ @5 d" A/ `
9 ^* |; A) C  ]$ E) Q. H8 g6 s编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

% h+ r: k1 k5 i5 Xowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
# g. C5 e, i$ h2 l' W
' J+ e4 Q2 r8 H9 f- c5 S. EInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
0 w0 S- n: B$ f3 w% |) oInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
1 j4 {# o2 v/ X6 eInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
+ i& t% C7 m: f: o; pInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
- i( i6 p( O& l- CInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
1 z# w: ?. ^, D, c/ ~2 f, L
在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
! c, N8 q6 L( i" I; l# P0 |
: I0 D; z4 B) W# d" f6 B$ |1 dserver {
      listen      80;
9 F9 V. J5 s0 t2 X1 T1 |9 u7 r      server_name 52os.net www.52os.net;
( `2 C9 p" H6 M1 b- w     
      location ~ \.php$ {
      ModSecurityEnabled on;  
( z9 P+ m9 @- f; [      ModSecurityConfig modsecurity.conf;
5 I; r4 \5 t0 o2 q
      root /web/wordpress;
/ j+ s0 \" ~# P; _6 x- D- |. b      index index.php index.html index.htm;
# r! w. C6 X3 V: p  
      fastcgi_pass   127.0.0.1:9000;
# q- a+ J2 u, y      fastcgi_index  index.php;
/ _5 w/ j0 W. P8 p9 A0 E- ?" a      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
, [2 {9 A! {' d/ ]- i& K4 @      include        fastcgi_params;
+ k* {5 A8 V) k, S5 z/ y      }
6 R" b8 B/ M; F$ E7 Q/ G- Z6 N  }
upstream负载均衡：
+ B; U$ S2 _7 l3 d# R
! i) E. W5 n8 M* X# d8 i" Xupstream 52os.net {
    server 192.168.1.100:8080;
7 a; D6 k8 `! T7 {3 [    server 192.168.1.101:8080 backup;
2 S) G, c' T* T- i}
% B% n. W% g+ }
server {
6 w1 S( z3 ~3 X1 Y+ jlisten 80;
5 u8 A$ X2 [" L, q4 n$ |5 aserver_name 52os.net www.52os.net;

4 _0 j2 Z% l7 g4 x' z. U0 N  g- ulocation / {
    ModSecurityEnabled on;  
; K; T2 q% M6 b# X6 Y    ModSecurityConfig modsecurity.conf;  
. ^& P& w, v- b* m& {, U1 E1 b- G; R
        proxy_pass http://online;
' Z# P) b0 q$ H" K$ w* W9 V        proxy_redirect         off;
3 K" S( o8 {* h        proxy_set_header Host $host;
$ K) ~! n$ [) Z        proxy_set_header X-Real-IP $remote_addr;
. s" [, I0 e4 D) G4 d9 U, y) O        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试
) a3 U% D1 G" h& s
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
5 L, ]8 u, s( D4 K    phpinfo();   
) G) ~" P7 Z& B6 m/ N$ e?>
在浏览器中访问：
; w3 l) i) ~9 T! K; H# P- ^
http://www.52os.net/phpinfo.php?id=1 正常显示。
- K' [. d0 V9 q: j" Yhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, _" {$ |1 J8 Y/ t2 i! Z6 vhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
6 d# B% u7 E) a# v+ h9 }' C. S说明sql注入和xss已经被过滤了
/ I, F! ]2 J4 o% k+ Q% _5 \
9 ^$ Y* E0 b5 {! h$ E3 q6 k* k- R7 Y" N$ u七、安装过程中排错

1.缺少APXS会报错
3 z' ~7 @# M4 E  I# W1 ?* i# ?+ X
configure: looking for Apache module support via DSO through APXS
* j2 P, B4 N, z. g: o  |' Q3 P' Pconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

3 K; u, x& o* E0 W$ ^0 [% v) L7 A2 Qyum install httpd-devel
2.没有pcre

9 E3 s( G( d( `$ t: t. |. Q$ Fconfigure: *** pcre library not found.
configure: error: pcre library is required
7 K3 Y  o/ S' s4 e, D解决方法：
1 _7 Y6 T- e) Y
yum install pcre pcre-devel
+ g$ i" P2 z( j- w- Y; X9 z3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
. M. ?" ~! a4 G解决方法：
) v. |$ W6 _. G
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

+ G* I* Y) t; KTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

8 m' I( x; @$ c" H2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
6 i5 k* L  d6 H+ c  r2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
- z) i" m& u; _* b" P+ g" F, U% Z2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
. H- O: Z# @& ^* M. h2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
/ n6 y9 ?# W8 R6 Y3 a1 |# H2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
( Z5 G9 K' E: ~9 B2 T6 E* U/ s8 N解决方法，移除低版本的APR (1.3.9)

* K( k, ^' _5 }9 E- Eyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
6 D# I7 {" M% M2 J
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
3 B4 ^3 a1 A- C0 \4 g0 Xglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
6 n6 `/ z: L: z! Q. R参考文章：
4 K' R& N6 l+ b  {https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614