nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
' ~/ ?9 f9 n6 s+ |2 R/ t
, d4 O( T  o3 h* R! ~" |, K系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

# Y# @) R2 v  ^: u  {' K/ Atengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
, A# ~, T$ d/ ?: N0 O
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

; d' V' k0 A& D2 N$ GOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

8 B# L; B0 Y8 }) x* e2 p% Q$ T5 D1 D依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
( T7 S2 r; x1 B, w
! R7 z5 M2 [8 E/ X1 F6 a+ i; [yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
# @  l* z5 N$ Y, n. qmodsecurty依赖的包：pcre httpd-devel libxml2 apr
! _: b9 Q0 w- }# i) m
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
! P7 ~; l0 F, t9 D% K& z二.启用standalone模块并编译
) @) O5 B7 f( p
下载modsecurity for nginx 解压，进入解压后目录执行：
6 A% x- X# I/ P
3 I1 w6 ]5 q& {. q3 Q; |! A4 m./autogen.sh
./configure --enable-standalone-module --disable-mlogc
4 s6 v# z4 J  i' Amake
% c7 g) A9 \5 @4 y0 o三.nginx添加modsecurity模块
- r* y" c! S6 ~. U; X7 S- N
6 P% \& w7 c* D" @. B" d在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

9 T4 K: O3 S; K; _2 c" E1 L0 v8 p* W./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
0 {$ f% l* O% V, ?' Y3 Umake && make install
四.添加规则
: B& l% a$ @0 O2 C
7 C( b. Z& u% c# T2 R% o. ]( Zmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
, A1 k. v' i3 z# T. c
1.下载OWASP规则：
* _  g+ ^# J$ H, ]+ ^( ~
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

. u) _" s: V8 s# Z  H' Gmv owasp-modsecurity-crs /opt/tengine/conf/
5 d, K, b& }/ h. o
9 c6 F! X+ [) _1 K$ e* zcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
+ h; a; g, J' x9 n2 n; W; M2.启用OWASP规则：

% ?3 s2 G4 d1 W1 l7 o4 n1 v! L复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
, f; ]% q* K8 p* B7 l* M
! s: ^. O1 R, e编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

3 i' _! G, |/ X; s( @7 }3 X/ t6 dowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

% F8 C9 u" ]& w7 j8 I- y$ DInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
) ]$ l. Z) B+ b* n( ~  YInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
- M3 q& g( B, J7 K2 W3 U, P% lInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
* k$ O1 K- ^' n" E4 V9 CInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
9 `. W0 X* c/ H8 a& I; X0 h% o2 LInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
2 A! x8 R6 A, _$ L: D; B, h1 ~4 @2 ^五.配置nginx
2 {" W# c" K- [1 f8 @
在需要启用modsecurity的主机的location下面加入下面两行即可：

: F) |+ C  L# J( x: H, N, R: fModSecurityEnabled on;  
9 X  U* K- ~; \& f% r8 ~9 PModSecurityConfig modsecurity.conf;
. ~# G& Q1 }! P$ x下面是两个示例配置，php虚拟主机：
2 W. M% f6 P: e* N7 }* U8 f
  x+ ]0 t+ D4 v5 ~server {
      listen      80;
      server_name 52os.net www.52os.net;
" N. v1 d/ {4 h3 z8 E     
; H4 u5 }$ F) @4 j      location ~ \.php$ {
      ModSecurityEnabled on;  
( a0 K* V2 o6 S/ y9 ?* W* ^$ W" ~+ U      ModSecurityConfig modsecurity.conf;

0 O& J! [8 O8 {      root /web/wordpress;
      index index.php index.html index.htm;
  Y) k( B( a# X2 s- r6 b$ S, n8 p- ^* Q& E- W  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
, X2 y- Y/ j" m+ _; B& N      include        fastcgi_params;
      }
. c# W6 d! ^' r. R  f  }
- P3 T3 J7 d( l: L4 r# j4 pupstream负载均衡：

# A; W( |) K6 ~upstream 52os.net {
# m, ]/ D" g7 \5 X6 j    server 192.168.1.100:8080;
/ ~, Y( p# s) @( `& E+ S    server 192.168.1.101:8080 backup;
2 b  U, D3 ?1 s2 V}
; D' v& [" N  ~' Q! a( E6 y& A
! d2 L; F/ z" rserver {
listen 80;
* ]% S  {' K$ K" R3 t2 Fserver_name 52os.net www.52os.net;
( [& E5 @' q; v1 j. {
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
' |) S+ x3 @3 K. _+ e        proxy_set_header Host $host;
) ?4 s  d: G) f/ h7 {' a3 }        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
+ D  N0 v8 y  m- H3 n# F' ]    }
- k0 R" g9 r3 {# D7 T, M}
3 K8 p5 Q/ }' v# c2 C  s5 m! s& H; N六.测试

4 q7 t0 G8 V. g5 L  S我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

% p" h0 Y$ g7 V<?php
    phpinfo();   
?>
在浏览器中访问：
0 ~4 C, K, a; b; L! w
$ f+ `, W8 u4 t6 c; O  c& s% ?http://www.52os.net/phpinfo.php?id=1 正常显示。
. H% U% k& d( o& r# Q# _http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
) G, ~* h5 ~! \! Y- Z7 K" bhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

" e$ m; H  p) y4 T+ m七、安装过程中排错

1.缺少APXS会报错

+ e: X, K) p1 f1 p; Mconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
  b: M, j0 f# B* f" q6 l+ japxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
- I4 f7 V9 R7 R, V8 r2.没有pcre
5 ~! u( F/ w- V
configure: *** pcre library not found.
; M5 }' C, k; p  }0 M% ?- g# zconfigure: error: pcre library is required
解决方法：

( {, [5 H0 {$ G! ryum install pcre pcre-devel
3.没有libxml2


6 q) H# ~! ~, H5 Z5 h) ?6 ?" ^configure: *** xml library not found.
8 K# j& l" @1 |$ m' A0 L9 h2 nconfigure: error: libxml2 is required
$ X, h2 |6 r5 Q$ B& z  t9 U解决方法：

2 }, Y3 S+ s& n8 M4 L) ?" T" Yyum install  libxml2 libxml2-devel
" s6 o7 F3 ^( ?  A, @4.执行 /opt/tengine/sbin/nginx -m 时有警告
5 o) i9 E) k4 o/ X" x
! `. c1 d3 |+ I" n: e1 ?& H( _Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
. r) [& J: k% z6 K  R* F原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

/ r) d# c7 s5 [/ {2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
4 z( F# ^- Y5 ^% z7 L2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
  K0 V) i/ Q% N6 w2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
. E4 h( B6 f% _" M+ x! l/ f/ O解决方法，移除低版本的APR (1.3.9)
$ j; y: w3 |7 R( f# @- t
5 U0 L1 ]8 X% n8 v( m( ~, _yum remove apr
3 \8 \: P4 P. g5 V' I) U5.Error.log中有: Audit log: Failed to lock global mutex
% |5 U2 V) P* y0 C- r3 ?; G
4 w3 w9 u9 \( u2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
3 H9 ?6 G7 }* e. b3 zglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
* B& `8 H# F# ^. |' q8 ~解决方法：
( `1 l* i- U1 f6 @编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
" F$ E3 B3 j& k
SecAuditLogDirMode 0777
9 ~! v- D( E" a) t# `8 ZSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
; i& B6 V( U# _4 \3 C; M; B参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614