nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
; V! w, x# i- T  n/ T
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

: V% z9 M. }% X4 ?: |5 V/ P, m/ WOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

# i+ H5 [& N9 D, `2 c  y* {依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
. n' r% u7 e) v$ V' _modsecurty依赖的包：pcre httpd-devel libxml2 apr

0 q) H* i/ i' }3 |+ B* k. [* U# nyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
2 V2 Q- G, L0 d+ X  ], v二.启用standalone模块并编译
2 N3 m% L1 F. v4 C* i2 N
  p- P% ?5 B! x下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
5 u4 w) c4 B7 H# o+ f三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
& ]/ T* i/ m' S5 hmake && make install
四.添加规则

( n# W: ~8 c6 Z) ]* N$ F) jmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

2 J) s8 @" k; ~) V/ N0 \git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
: p7 V% W/ ?7 @2.启用OWASP规则：

+ t* B. x2 s3 M; z2 z+ [1 K+ W0 e复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
0 t' W& @9 j  `6 Q/ X7 Z
) ]( L0 K, N& X0 ]编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

. M& \! K' L4 Y3 h1 D: cowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
6 s" G8 N" L' d+ ]$ B, k
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
' @# G$ M1 ]/ kInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
5 p% l$ D' b% k! R; GInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

( y$ y2 c7 w1 g+ Z$ L% j在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
- n4 l  k2 c3 K6 U$ r8 C/ ]* kModSecurityConfig modsecurity.conf;
9 V) P4 {' ]0 R5 j  K0 {9 a下面是两个示例配置，php虚拟主机：
7 A3 z, k! `' ?" K2 p6 v% h+ u
server {
, F$ S& j( q' |' u9 \2 k      listen      80;
% f( b3 \* v! U5 E$ _      server_name 52os.net www.52os.net;
) t& M) C; m* G* j- h/ F. }. c1 J     
; P# i8 p7 j( z) t" X% C! l/ X      location ~ \.php$ {
. U: g9 d# p, v* I3 @      ModSecurityEnabled on;  
) ]+ Z( B+ y0 ]( I, j! I      ModSecurityConfig modsecurity.conf;

; Y  g0 B# u4 A5 d2 L/ v3 D1 p      root /web/wordpress;
9 \7 |6 ~  m0 F9 Q      index index.php index.html index.htm;
/ }0 e+ w; _6 x" P8 u8 U/ ?  
      fastcgi_pass   127.0.0.1:9000;
, W; c1 J4 h- b  g* A# g: V, ]& A      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
5 D$ J6 ?2 {( M- n* w! V  }
6 [1 w/ E3 z9 U# ~upstream负载均衡：

' Y" n  X9 s+ d' kupstream 52os.net {
) q0 W0 x8 y- Z' a1 Y1 f% X$ p! X    server 192.168.1.100:8080;
  a' W9 u. H' K5 H7 p) o    server 192.168.1.101:8080 backup;
$ N8 b% U, z$ R/ a3 F0 ^}
& z4 ~/ @: H) a: [: S) ]
server {
# M, \2 i; }4 F! x: Ilisten 80;
3 V7 u! o+ H9 f: _server_name 52os.net www.52os.net;

$ S# k0 r' v; T+ [location / {
    ModSecurityEnabled on;  
% S( U7 J7 x  |4 A3 R% ~    ModSecurityConfig modsecurity.conf;  
# H6 L/ U0 n# z& n6 v% `3 s$ Z0 W# @
        proxy_pass http://online;
        proxy_redirect         off;
+ s9 ?% X1 ]7 d5 F        proxy_set_header Host $host;
$ Y% w0 s( y  Z5 _$ D        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
7 P% O9 q/ O# j}
六.测试
4 D* z  I% |$ t
/ s4 i+ Z1 {: u我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
5 d0 z  G3 U) t9 A?>
% s  Q' K1 B0 o在浏览器中访问：

( ], g$ f% K4 r: r& H! ]http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
/ ], p6 G1 l5 Mhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错
8 r# W8 P3 m+ i3 K7 t, G
+ U9 t1 ~: S; j+ k3 V1 @& ]0 x3 {! z1.缺少APXS会报错

' j! c( F' c# Wconfigure: looking for Apache module support via DSO through APXS
, m* R' K& S% z. D' C% tconfigure: error: couldn't find APXS
/ V6 z- }2 a1 Sapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
. Y  s5 J# \$ H) L3 ^3 a解决方法：

) s) I( x2 w  o) f- b. @- |' G/ c% [yum install httpd-devel
5 z5 v0 P, S6 p0 P2.没有pcre
, F3 O9 \3 x% I) F8 ^1 h, q# ]( b
# D# v2 ?, w- C& N& D8 rconfigure: *** pcre library not found.
; O) {/ y2 w6 lconfigure: error: pcre library is required
4 I6 M' x8 p$ u7 z6 X( q* A解决方法：

, S' E9 d( x" k9 `* G7 |yum install pcre pcre-devel
# D$ L) \7 D& `+ ?$ b! f3.没有libxml2
9 P! V0 e6 g% x( y( N

' I+ b( k8 z( U+ }) L, W4 cconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
6 S& G( [/ D, S$ d% B) m4.执行 /opt/tengine/sbin/nginx -m 时有警告
4 u: l1 ~( `; C
0 }* Y/ w9 Z8 D' lTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
' f" k$ I" x+ h, ^) M原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
! R& W3 H3 c, I' g- r# ?  z
# e9 h7 v6 N/ P% c$ R2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
( a& k% t- K0 @( p  {- v- q; t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
$ N$ r- l! k8 S2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
8 F) L: I; }4 g2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
7 I4 q) m+ z& L2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
) y) J% F1 D+ @9 `解决方法，移除低版本的APR (1.3.9)
% {4 u: h( V2 ~2 \
) c- U& P  X6 _( Iyum remove apr
: j: M8 S8 t- a, ~9 m5.Error.log中有: Audit log: Failed to lock global mutex
! D, ~- Q( U5 C
0 t! n+ j9 ~4 }6 m2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
7 a4 U3 f( t* c8 a- \; K# Q$ ~global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
2 b! A/ j, ^) ^4 c# Y解决方法：
" Q6 ~/ A/ t4 w8 Z编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
, O9 r) z; ^7 y7 p' \- ySecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
+ R* b$ C- G7 m/ t( \https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614