nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
6 s0 j% u0 [4 ~& _' T/ S! |) c
' @( y" r5 P! N1 k. I  s; v一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
* S! s6 S" }6 }9 O$ E
  m& V( D. @( g% L5 n& K4 mtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

- ]# J8 u5 ^& u7 v: Omodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
; ]- M" _2 b* c9 }
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
, T' _! o9 Q: [3 W. y0 W
8 A" v4 B) L; Q依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

' s# }4 t; D3 y4 Y2 v: S2 g& c& fyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
: @% @, r. [" \/ |modsecurty依赖的包：pcre httpd-devel libxml2 apr

  d2 x  V  [3 ?7 w6 I7 h8 [" Oyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
& J( p# U8 l& F% t9 T- h3 T二.启用standalone模块并编译
+ j9 b/ j: J3 e: q# H6 T
下载modsecurity for nginx 解压，进入解压后目录执行：
7 `0 w! t( Z& z4 T0 x  C
./autogen.sh
! K5 n7 B: U+ f3 |: J) F+ w./configure --enable-standalone-module --disable-mlogc
4 g; m# K! Y1 I& X* Hmake
4 T) b+ k" ?4 v" X7 i三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

/ N/ Q) h* J  T+ }+ j. W4 i, t, ~./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
1 t* M( U& {3 p1 y% H四.添加规则

1 j; ~0 b5 l+ z- Z/ B& cmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
' D" Q# x1 ~  {3 j
. Y+ j; H7 C; E) egit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

& ~  _9 ^0 d* n( L, pmv owasp-modsecurity-crs /opt/tengine/conf/
, q( `7 c* O2 O4 N0 I
' V+ V$ b2 ?9 n8 _5 [cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
! d; c* a2 _9 A( Z! P# M2.启用OWASP规则：

* {# S4 m# ?; u$ S复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

) Y' d! S/ b$ p, ?9 k0 z1 |' Q编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
5 ]: k5 m- V2 n: E7 v, P6 o" P
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
7 G# X* [  k5 m* U/ ^1 m( ZInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
. v. y) F' _; x( i! W0 c& FInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
8 X+ m, K1 X& E- R8 f: RInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
( Z' o2 A$ Q* n3 u9 N
! f. w, p, M, t+ L, r在需要启用modsecurity的主机的location下面加入下面两行即可：
/ O" z+ f/ |+ u  Q
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
  r. d( _3 S) F0 x# I, [3 U下面是两个示例配置，php虚拟主机：
# H+ F4 D- L. `- O3 g- r% h4 C& |
/ n8 g/ Z/ M3 E; Aserver {
      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
( m+ m1 ]; v/ w
9 t7 N" a- S7 j: J. R      root /web/wordpress;
      index index.php index.html index.htm;
; y8 p1 z8 Y  m/ w  
7 B' c/ ?+ h( R9 z! R      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
9 {, N4 u& P( ~- j3 I. e+ {# o      include        fastcgi_params;
      }
6 Q( n$ i/ u* y: m0 V) I. m0 s. f  }
upstream负载均衡：
7 ~9 Q# Y: p7 F2 i9 \! }
. K5 k) Z; n# k4 N: f& Bupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

server {
& k/ T) k2 ^- S* ?  ~0 Plisten 80;
server_name 52os.net www.52os.net;
" n) u2 \9 P; r# I
location / {
2 }4 U7 E# R2 e1 w7 G    ModSecurityEnabled on;  
. Q. S- K. o$ |8 n2 m    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
) f  r: H& k4 M, s0 x# |& N        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
% Q+ N# O. ^0 ~# y$ V六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
! x- W' z7 B; H  h4 `
& z$ ?" Y% ?% ]9 ?6 `7 l5 q# W<?php
    phpinfo();   
?>
在浏览器中访问：
- l/ e- |9 I  a8 E0 a8 P3 l) `7 `
http://www.52os.net/phpinfo.php?id=1 正常显示。
: k. o5 r8 p! j2 M( V1 ihttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
: l) x6 }! l4 C5 Z! T说明sql注入和xss已经被过滤了
1 i8 P9 W% B2 G& p7 c, s
七、安装过程中排错
2 w9 a5 V8 M  `2 U
1.缺少APXS会报错
$ [9 T/ o$ U1 ?* D" I/ ?
+ i( f" K- x  Uconfigure: looking for Apache module support via DSO through APXS
" r  M& U5 C: N6 Vconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
, S+ }, _3 ~) |7 x
& \! a& ]) n2 O+ fyum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
7 \/ F8 u7 M# f8 yconfigure: error: pcre library is required
解决方法：

5 X2 t2 k# ]8 i+ Y& n! \$ c9 hyum install pcre pcre-devel
3.没有libxml2
8 z. u" ]- ]2 e4 |3 p$ u

6 b3 |# z1 L6 q$ P4 K7 Tconfigure: *** xml library not found.
7 f& R8 g% \1 [* B( pconfigure: error: libxml2 is required
3 i9 I( V5 ]) ]* w; K0 {7 G( Z解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
3 ~+ z3 d4 ~# P3 q$ {$ m4 q原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

) e1 }: j% G5 e! z  D2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
: W6 _- }) t- B+ K# \: V2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2 W' p6 C2 }- M) V, X2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
6 K8 E, x4 Z4 u2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
  J2 w( _, \& ?5 r, f5 p3 Z解决方法，移除低版本的APR (1.3.9)

7 L5 B" f: \. e: hyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
/ j0 B! m% D/ y5 Y6 w( l
( q+ Z( w/ _8 ]. _2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
+ ^4 K8 K# ]# w! s6 d+ z解决方法：
5 ^7 x, a9 a3 W编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

6 J- |5 {" V+ Y4 ?SecAuditLogDirMode 0777
9 }. M0 x2 C0 m6 @  aSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
- x5 \, A7 N% FSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614