nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
, G# B) H/ Y9 @  {
一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
, V6 Y, K8 e0 H6 |2 y
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
* q' x3 h$ ~- o0 p
6 \; g& u, h+ u3 I( lmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
8 l- M: Q- p3 z) s
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

1 }& A6 ]4 i7 Y( u* O- k# M7 ]4 ?6 b" Yyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

  U3 U7 q1 K& z/ T下载modsecurity for nginx 解压，进入解压后目录执行：

+ g+ j% l" n' ^./autogen.sh
./configure --enable-standalone-module --disable-mlogc
/ x8 n) x3 O8 C1 _0 Vmake
三.nginx添加modsecurity模块
7 s$ Q, `6 j4 d8 G/ @  ]1 y
9 A" g* X3 l  N  W* |1 d( H在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

1 Z, C2 ~) z7 P7 m./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
: F1 U" A" T6 O0 L: \. @! c8 K! Lmake && make install
四.添加规则
/ @' K/ C  e: R. G. F! p; [, M
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

! h" e) x( @2 d4 H- Sgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

2 D; f2 E* @$ }3 m# x* I6 }mv owasp-modsecurity-crs /opt/tengine/conf/

: _* A4 m1 M5 `( _8 d8 s2 T& t4 M; i0 c6 wcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
+ E& O3 J& \8 Q( Z3 g" K2 s3 @# U
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
3 C: u  N6 L- K2 R8 {
8 B# e8 J- x# B  C! D编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
! q  N# X$ e6 M% x: y
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
5 z) N+ ~2 u8 ~
0 K/ o' o3 a( e( ?, k+ [Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
( O1 V7 z8 S/ hInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
% A2 g9 ]- T1 i6 _8 f1 b9 [& s% VInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
0 g  k+ {% J0 |  J
6 O/ U/ I  z) e- v" e7 g; @+ Q* j在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
; S5 r& w8 d" O0 L2 c# z2 P% f下面是两个示例配置，php虚拟主机：
! F: @- F& z. f6 h, A
7 q& o% R2 x& w& j1 M: L4 |, [: ?server {
7 M  D" H% g$ J" [" U      listen      80;
      server_name 52os.net www.52os.net;
/ U5 c- N5 X! ^! A: D     
$ Z5 t6 Q* O7 W/ K, ?! t      location ~ \.php$ {
0 y2 [" o1 x5 H: k$ n      ModSecurityEnabled on;  
4 H0 O7 r$ k1 i% m2 t2 p8 u' A5 C      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
, @! y: L9 ?6 S; @& x* Q5 v- ?      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
1 U1 P2 `  I3 V; T5 h      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
; L$ q. D2 a  ^) d      }
  }
+ ~3 `  }) c5 [/ M! l  J0 t9 oupstream负载均衡：
% X( p  T* {! S# Y, D
. I' }- {& _  m; vupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
6 y4 }4 u% k- G% N! w: q& O}
- s2 Z; X, {8 a6 M7 G, V( T
6 }; o/ y% I, u! r. C3 q# o1 {server {
1 G( H# L" _" E' n, ]5 `0 |4 @listen 80;
server_name 52os.net www.52os.net;
: k$ A4 z8 Z( W) l/ C- Y
location / {
' O2 }. g* _" M1 e    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
3 g7 Q$ ~: i( h) x. w: ~
4 h, c& ]: A; j8 Z+ S* c" O: {* q        proxy_pass http://online;
- C; s* {$ S8 K. [" D, W: H5 M$ N2 q        proxy_redirect         off;
8 e  ^3 `1 j$ k        proxy_set_header Host $host;
; D1 |" z8 c/ D' R% y6 L* I% t        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
0 ^4 k# i" l/ x1 [) t# j% b; N    }
$ i& D  s' n3 C}
六.测试
- D2 ^: m# n0 i
( J: a& E% C4 M. v5 m我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
" x/ I2 G6 t9 R  t' y" C    phpinfo();   
?>
" p* Q* y& P2 q' t  K; ]在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
7 K5 _4 P/ ?* c1 q9 q0 [0 c说明sql注入和xss已经被过滤了

) I- K* ]) T$ J6 G" u! M: ]七、安装过程中排错

- p5 N# E! W. n& n) f6 H9 F" }1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
9 T/ R  ]2 H: y& Z% H7 L3 Z2.没有pcre

configure: *** pcre library not found.
. e) L/ s# R  `0 S1 Wconfigure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
* }6 B5 m# I; Q4 ]3.没有libxml2

4 F1 V' R. A* _5 Z# ]: K
configure: *** xml library not found.
( K! f. i  I5 H0 K3 R! ~configure: error: libxml2 is required
解决方法：
9 g6 v# n/ |; P" R
) P; H- k' e3 Yyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

  L4 B6 n3 z  h, {; }, q  GTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
! I+ K6 x. Y6 s& o* h& Z原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
$ i  g5 R' f. _9 g1 R+ Z/ D/ T+ A
3 y6 m1 U9 B* f3 H  Z8 @1 [2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
: g+ W/ q0 m8 Z7 s2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
5 }$ W3 n3 q- s! Z- g, }3 F2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
+ ^# P3 N! t2 _  q2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
; Y# r$ N- l/ i0 X2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
! r5 @2 O) f5 E4 D/ m解决方法，移除低版本的APR (1.3.9)
* ]* V' Y- h9 l; {+ `
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
8 x4 g' x  A0 Qglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
9 W* `7 @0 F8 z2 K* J) Z
- H! @. j0 V; c. d. p  s6 K% eSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
* m3 O+ B* x& r  D$ WSecAuditLogType Concurrent
3 p; v. F: O- [2 a# O参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
, T2 Z4 m  T0 X7 ~/ Xhttp://drops.wooyun.org/tips/2614