nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
% I/ X. p" A2 G! v* b" x
# i2 s! U: F! e+ b+ D0 Y一.准备工作
) F0 j! ~" K& ?# C
: ~/ J# D( J8 @9 L系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

  W: X- T0 y9 d- V- k, ~: _tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
& i+ J. N; p) N/ V1 j- m6 ?8 F) g
# H( O6 v9 \) @$ B, t, \  ]" zmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
! s8 r! p2 Y& v7 u5 _$ N  e6 i3 s
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
8 Q8 M+ G  ?0 [. M4 b4 p3 a0 P
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

7 T7 ]2 D" W# b% B' D& r( X) o* _' \yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
; H0 ^) z& \( }- W; Z4 |modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
$ E+ g8 g% g2 A" B6 ]( [% q二.启用standalone模块并编译
. }' @3 A" X5 L+ ^
下载modsecurity for nginx 解压，进入解压后目录执行：

8 U8 _9 h" Z% L7 j$ t2 x' c4 h./autogen.sh
6 A6 x3 ?( k! ]* y6 }1 {./configure --enable-standalone-module --disable-mlogc
2 M6 Z' o& w7 L4 zmake
三.nginx添加modsecurity模块

# u* G+ [# X5 G  {9 o% M% v# P在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

# i5 M# t! }  E/ A5 S. V/ m./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
# K  R- h; k$ F
9 i; d. o( R$ X; Omodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
8 y  x7 o3 N/ j6 W, T5 R- w
1.下载OWASP规则：
- [8 G- u- s% l8 d: d, d
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
0 p8 F& t& s9 I5 K# O0 F& x
mv owasp-modsecurity-crs /opt/tengine/conf/
5 k1 C6 ^) \  P6 Q
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
) V. [* H) g. e3 N  i) a
/ ^. S) m6 J. b' {5 F复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
# W0 d5 Q4 u+ y2 |; m
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

' k8 m/ V. \4 a3 V) A, E  Howasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
) r5 e8 Y7 u  k$ {3 o
2 t- n, y8 U8 p8 A& i0 |+ {6 ]  RInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
1 W( j- U6 x, Y  PInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
0 A* V6 L3 P$ Y; IInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
. z- |5 f* N( j; T  k$ V% cInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

& o$ b7 M0 H# U4 c- n- h, J7 V在需要启用modsecurity的主机的location下面加入下面两行即可：

  x+ S- ~+ q8 W/ NModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
5 V" F& V. @" b9 N0 t* j' }$ A下面是两个示例配置，php虚拟主机：

server {
% ~3 i% R" |1 k8 e  Y4 i* R      listen      80;
5 x+ l) K& d* M4 C5 P# k; f      server_name 52os.net www.52os.net;
: K8 R2 Q/ t4 I4 c     
2 c' p# z  a# I+ c0 I. {8 l. v      location ~ \.php$ {
      ModSecurityEnabled on;  
7 E( O0 K6 x1 E' P      ModSecurityConfig modsecurity.conf;
# j) I# o# m( U( l$ A! l+ t
* J: t  z! {% F, z1 G9 m      root /web/wordpress;
      index index.php index.html index.htm;
3 }6 q/ C* p- M" @) C, U5 U1 e  
      fastcgi_pass   127.0.0.1:9000;
8 u- G8 G% ?+ |3 H1 H      fastcgi_index  index.php;
1 \. @: m) [7 a+ D+ M. y% Q      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
1 o+ Z6 }: V4 G$ u      }
5 Y0 v' N5 d3 p) \0 G. V  }
upstream负载均衡：
% ?* R2 j6 x  v0 [8 G! L1 P8 L
0 T2 D( t0 f0 ~0 `  ?* l+ lupstream 52os.net {
    server 192.168.1.100:8080;
6 f% p, k- l2 M. V  d( L& z    server 192.168.1.101:8080 backup;
}

# j  |0 _" }) G& j2 g% r+ dserver {
listen 80;
# ]3 c6 P  n  Y7 bserver_name 52os.net www.52os.net;
: y' o: d6 w* w. G7 L  L7 `
) I  `2 V; J. V( O& b; e7 N+ alocation / {
& o8 [" M9 L* c+ J5 r    ModSecurityEnabled on;  
+ D" P+ K* v: M$ C' G: @    ModSecurityConfig modsecurity.conf;  
" S  ^: V2 S/ ]! j; d
7 {3 a* T2 K. d2 M2 |        proxy_pass http://online;
% w. H1 d. r, e        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试

7 ^+ t% {- t/ P- [3 o我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
7 q  `' G( r; y/ t) O  G2 I
) M- `) h& Q! @; X2 B8 m9 c<?php
+ H* I" M0 k0 ^* k    phpinfo();   
?>
在浏览器中访问：

8 S7 I) k5 R; R. Ehttp://www.52os.net/phpinfo.php?id=1 正常显示。
  ?: d$ s2 z# E: {  Ghttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
3 O, H2 C2 o/ u8 a7 r说明sql注入和xss已经被过滤了

七、安装过程中排错

1.缺少APXS会报错
- f& S/ ]9 P5 S% \
configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
+ g/ ]1 X  R. X! e1 |apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
4 A; J7 v/ U" P解决方法：
" X0 [+ V  q- I- Z1 _2 ^5 g
6 V! S9 `% y& b8 E4 Iyum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
1 }5 e: z2 ~% _9 K2 \$ w- Zconfigure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
3.没有libxml2
2 R: T) r  K$ _- I* d' t
% ^' ~1 u5 c" R* O4 q' ^
6 [6 [' t! y4 }0 D: H& X' |configure: *** xml library not found.
configure: error: libxml2 is required
. [5 r5 W' Z0 j解决方法：
$ t  r7 S+ e; N( `4 `* y
5 S7 l$ {# h$ ]3 p9 Byum install  libxml2 libxml2-devel
# z6 v  ^; x5 p* k( ]. D4.执行 /opt/tengine/sbin/nginx -m 时有警告

! y5 @% k! p# K6 A+ V9 q% g4 rTengine version: Tengine/2.1.0 (nginx/1.6.2)
: T+ }* H) l( p# ^9 g6 ?nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
" C; ~, l5 ]* {) {原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

8 [8 D$ ?2 }, K$ s- {2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
- ?5 ^- M. J+ E! A3 ]9 X2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
! W; G0 ?" E5 k) j" M2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
$ D4 `, J' C: R' u
+ E+ {. u4 H* e" B# Hyum remove apr
, S" l# M6 L3 {! k- M5.Error.log中有: Audit log: Failed to lock global mutex

! t  K" h; ~$ t. b- s  P4 O- F  j2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
( N9 o3 ~8 J1 z, W解决方法：
7 G4 l+ s; G* `. s编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

9 j1 P* q& d& W4 ~# ?8 V0 bSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
1 W, `! M. i* Q, P- a4 P; jSecAuditLogStorageDir /var/log/modsecurity
! {- X$ @% \+ Q/ W; p6 xSecAuditLogType Concurrent
0 `7 o) e) `6 n参考文章：
# v" m( Q1 R- R/ rhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614