nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

  C: J: `1 w+ r2 G# ]$ u5 s# c! Q一.准备工作
! U$ U8 U# b- j/ ^5 L
; c& [4 _1 @8 @$ K  R5 P! Y6 s系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
& |+ U9 }6 Q/ R8 E* i
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
0 M5 s; f* j3 \# H, V! l% V+ Y- l" Etengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
3 p& y* o5 J, B- J0 S( C$ H( `
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
9 H+ n; L0 l& c6 n二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
' x' G& A' Z* M3 b4 k# H* X
; h  p" H7 [7 r4 Z./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
/ {: n( l5 ?$ `. w4 F2 `8 `
( V1 j  r' |% g3 }# V  [1 \在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
" w% F0 i6 N  L) w0 t- C& u
2 g6 V+ X8 ?# @8 m- ?. v6 W./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
* Q/ b, Z( u% @+ t/ }1 r, ^四.添加规则
2 @4 H0 Z- `/ B; z: V- X7 G
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

- R8 J! K) `, q  L2 S/ W8 q$ P) O( R1.下载OWASP规则：

7 }; b+ V) A" f6 T" f, x5 z8 Dgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
/ x+ q/ j) s! R  I% u: A& ^( n
mv owasp-modsecurity-crs /opt/tengine/conf/
" Q8 ~, |5 u( Y( N& S9 R: W0 h
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
& D: A/ I3 Q; j9 N; f& f2.启用OWASP规则：

. l# R# |+ @% `复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
. S: m/ Z; _0 d; u! J+ u
& S3 W" X3 O" ^% o* r9 Gowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
4 x3 ], M+ P8 Y+ i+ ]Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
( @* W+ ]" r: `Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
2 l6 D. O0 d3 i: o* yInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
3 I' D) k# {# K) M! {五.配置nginx
& |7 L# o- z3 b' w$ [) V# W
在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
! `5 w% I( ~- h4 g, G( q- h% n下面是两个示例配置，php虚拟主机：

" m, I) j. G; p$ `) Kserver {
      listen      80;
      server_name 52os.net www.52os.net;
8 G1 E) B7 j" b" J     
; g. d" V' }. Y) O6 @- L0 v1 A      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
4 ^4 S) s) J/ J! f/ I' C6 q/ ]- Q
      root /web/wordpress;
6 `2 t4 N+ H2 I/ L: V7 H2 `* d5 o      index index.php index.html index.htm;
; l; a0 M7 t6 Y( Y1 d  
; J* [; e* W4 F9 J4 q8 t      fastcgi_pass   127.0.0.1:9000;
1 g6 |- q0 p1 o2 U  C      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
0 p9 z7 z# V4 [5 V; H5 Z      include        fastcgi_params;
% ^) j4 F- }. I4 q      }
1 u, E6 u5 _; {. s4 k  }
upstream负载均衡：

upstream 52os.net {
% x  K% I& C6 Y- D3 C+ q0 i    server 192.168.1.100:8080;
& t0 o$ z" k4 B. t2 j& L0 y    server 192.168.1.101:8080 backup;
; a' j) G7 B/ N' r' h}

server {
' p/ j+ S4 g) b7 b5 }' a$ zlisten 80;
server_name 52os.net www.52os.net;

4 ?- S2 ]7 B+ a; J" m6 n9 o* [& _7 w; j3 }location / {
$ X# g2 S' i0 l, W" f! j    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
1 R- s: i4 Q, G9 r+ m
        proxy_pass http://online;
$ c4 {2 r# {) X! f* S3 h! f        proxy_redirect         off;
3 d, ]+ v0 {8 b8 x        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
7 R3 |( M5 M9 w& l$ T; q; |8 D0 m        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
' N& ^/ G6 \! Q; W  |5 a# ?3 o}
六.测试
0 m1 s$ X! k5 d/ K' I
3 A% F- K5 ~  H我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

4 P8 a9 w. Q* L/ G/ N) V+ u<?php
7 h  S+ k4 h/ \, q    phpinfo();   
; x% i. E' X: v# V  n* q+ q?>
% z; ]) a8 u' e7 y1 ~, k4 @在浏览器中访问：
0 Y6 x- [' e: `  q+ J/ o9 ^
' ~4 D2 s1 p' Z* lhttp://www.52os.net/phpinfo.php?id=1 正常显示。
1 S; l. E+ x2 s+ p; ^, ehttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
0 ~9 k' n. W! b: G
- ]. }" Z6 C9 z+ e七、安装过程中排错

! ~# l% h+ U8 x* u% o9 L8 e1.缺少APXS会报错
) \5 u) }! {+ W/ b% |( v
configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre

8 Q' T6 ^7 L' N# D! ^configure: *** pcre library not found.
/ ~3 p, g4 G. T5 K! e. b: mconfigure: error: pcre library is required
( F* ]( G- `1 x' f+ |解决方法：
; b& Z) H+ M2 X# g" x  h
( I0 e0 g7 o. L, z  O4 ?yum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
2 G" R" i7 _# x% `* i+ m解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
3 ^8 F4 [4 P  M. e  z( |  L; `" m
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
; e9 H* j; Q, J  S2 i原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
- W- z) q" h2 _7 ^
2 C/ ~& X8 D, F9 w/ `' i# L& R+ W  U2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
! A* U7 ~. ^  e, g& ^7 G6 R2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
# U9 e, c& M1 h+ W( W2 K2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
6 h  M& {8 b' w4 G) J* t2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

) F$ b: X# M5 X7 d, syum remove apr
4 E$ c3 J& t7 ^$ J5.Error.log中有: Audit log: Failed to lock global mutex

9 u6 h' f$ k+ J/ D( t; R0 j8 R/ u. K( v8 F2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
' m; P+ y1 \3 |编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
' `# G" N2 [+ F) Z2 _0 A1 Z
1 F) G2 `& y$ C: F4 WSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
3 i* [" p3 p% Q+ S1 H) r% z: U9 nSecAuditLogStorageDir /var/log/modsecurity
3 ?; g/ g& Y4 B. d* ASecAuditLogType Concurrent
, w4 A1 \7 O$ X/ v参考文章：
' [& G% ~& C& A: F4 Uhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
6 a7 |; H1 G) w' a% fhttp://drops.wooyun.org/tips/2614