nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

$ ^4 X7 O5 O. L. }0 b4 O; }" J  o一.准备工作

- _, R. ?7 h+ k' K系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
' X& @4 g& y' K( ^2 O& T9 ?
' _# c' Y0 O' Y2 s  R6 u; T5 Etengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
0 C& \( ^1 r' v1 R+ u( X* }
4 d( h7 }# X  j4 r+ hmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
7 w9 r( G$ h% y: l1 _
- N4 O0 G. o+ _依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
) c2 J6 A/ E# V. d0 V0 p! wmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
2 T; ?# k- F% ]& w+ x' G4 h二.启用standalone模块并编译

6 k' x& Y8 W- x5 n  i, I8 q下载modsecurity for nginx 解压，进入解压后目录执行：

- b0 b; ]8 e& Q3 S; p./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
6 m0 G+ d0 ]- A" A3 x9 m& k三.nginx添加modsecurity模块
( N9 D) h- e8 q. n# ?+ d
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
$ t& C+ e; e/ E* w6 l; }$ ]) imake && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
& Q8 P4 t  Z: m
& h6 t+ S4 \1 w* W. M6 @  z/ y1.下载OWASP规则：

. a( D% A/ \( p- \6 ^0 i' _git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

. B7 g8 P6 t: W/ Lmv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
3 c8 p1 Y  s. N  {" C2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
: y3 S7 N+ ?! {; N; |1 _! W" B  z% ^  G
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
, {4 \* e1 n7 X. \) ?
! {$ U: p$ G/ L' i4 K, B5 iowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
/ Y; z: P  F: r4 H, oInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
  R& ^& Q  M/ r- @Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
/ I" D8 H; p* t0 z2 C) h
8 F5 ?/ Y/ v6 T$ ?& f+ b; W在需要启用modsecurity的主机的location下面加入下面两行即可：
5 K3 ~# V7 T1 X, i( P
8 o; I7 v4 O8 ?( y+ }$ nModSecurityEnabled on;  
9 r! r. k$ ~8 H  u% ~ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

3 w# c: j% r1 I* yserver {
      listen      80;
( ?+ V9 D0 e& E: R      server_name 52os.net www.52os.net;
4 _6 O) ^0 Z# f! F1 v* O     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
6 A' w5 {5 I, D; o
      root /web/wordpress;
  n9 L9 B, Y3 B, z      index index.php index.html index.htm;
- ]$ ]# b- i& r7 L  
* D: j+ v# G1 n0 N, V      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
7 e" A( Q0 i6 K$ o/ b) Oupstream负载均衡：
( X7 D5 l2 T# @% x7 m( Y6 t
$ x' Q/ }$ e( L9 M' D/ e  Kupstream 52os.net {
    server 192.168.1.100:8080;
' N' c# F9 r4 t6 e0 H, b6 j    server 192.168.1.101:8080 backup;
; q. {+ y6 r+ e: g' C! I+ }- t5 ]}
- G0 F" w4 k+ s* y8 G
( g+ P/ ~  p) d6 F: p. V7 |server {
listen 80;
server_name 52os.net www.52os.net;

location / {
, R- Y: D/ k( {3 ?$ S) U* l    ModSecurityEnabled on;  
; U8 N% T' Z+ k/ @0 c1 w    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
" |, I1 ?# [) d& V( }        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
; n9 ?1 R" V4 t& S9 p! t0 r        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
% h# f3 A6 z3 f# f- _3 q    }
}
六.测试
1 t; s" x, m1 H+ N' R6 \  X' `# N* r
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
5 Q; s0 j, ?- z% E8 H
<?php
. b% Z+ R6 _4 ^- `- ^    phpinfo();   
$ M  z5 Z, {/ V4 U) W6 M?>
! m1 c- m5 y9 l3 ^; \' Q$ V) ]在浏览器中访问：

; r. A5 A$ B% J; J( ~http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
1 D7 h4 u0 I) T( X说明sql注入和xss已经被过滤了
  Q* t7 Y5 p' D+ E( I' M; Z% H4 b
+ R7 F0 y  V; k0 ?. `, n" \! M6 f七、安装过程中排错

  g) C( H' n1 A1 m9 e; Y1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
% j+ n: `+ y, W2 |4 P2.没有pcre
- f! m+ x( e( g* ?% o( p) Z  d
2 ~; G4 R! G) xconfigure: *** pcre library not found.
& ^% |9 t4 n2 J0 econfigure: error: pcre library is required
: T" q& _. p* B: z& v6 L解决方法：
4 g  x+ B* [; E
yum install pcre pcre-devel
3.没有libxml2
# S& g5 Y9 K- Y9 y* c" x$ ^
+ `3 @& E. D$ k. Q
configure: *** xml library not found.
# j0 X8 J5 h, g; m9 H, B  X* Nconfigure: error: libxml2 is required
" S$ c  ^/ C/ \0 r& x1 j解决方法：
3 m, y! _. ]3 I
yum install  libxml2 libxml2-devel
/ l" B7 Y7 g! R$ n5 k4.执行 /opt/tengine/sbin/nginx -m 时有警告
! m! C* F: q( e( o  A
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
" z. B( l$ H( R" p7 k: bnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
+ z! [1 J" {7 S9 W6 N2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
/ L/ s" H; q6 p# E8 w4 j( X2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
3 a% t; y3 u* U' n" t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

- E+ D2 [) }- z6 ], ~& b2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
8 M& m9 k8 W: J编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
! l  @1 [' V) N
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
! Y' n4 H1 Z: q' {SecAuditLogType Concurrent
: o) N2 v0 p) S3 G参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
& G+ Q: L( z0 r$ w1 e5 E* Nhttp://drops.wooyun.org/tips/2614