nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
! I' @% c$ a: p/ V
一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
2 ]) \/ V) H/ s+ r
% Q' a$ }9 v; W- ~3 ltengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

  L3 ^& h. _. _- O, gOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
, K- B9 \# s  c/ x8 P' b; q( s
依赖关系：
% T9 `0 G; L6 q7 K8 J" H" htengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
/ E5 X) D3 m% a% X+ ~/ x( W
5 E; y1 i3 r' }( wyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

' x2 J3 @! }; P2 [% o5 h下载modsecurity for nginx 解压，进入解压后目录执行：
: e( J: u- ?. Q8 w  [- Y
  D( Y2 @3 B# t# p./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块

  O9 T8 e+ B! x在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
$ e; }7 t4 d% k' X# W& `四.添加规则
' A. `& p5 M6 ?9 r- n; i
( e' T0 `5 _2 |* C' lmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
& e, U- @3 w& T: Z2 g1 \/ W
6 w6 |& E- X) }- Ngit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
2 E! X$ H9 Z4 R8 U# i
mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
9 V& v5 l# h- P
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
8 K# l& d; c' X/ w& Y4 Q
3 u* {' z; ^" v; Powasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
  Z! s) X3 ^0 X3 n: |Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
" T6 s* t5 Z1 yInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
9 T% K- ~. J0 B3 [) Q% c% v五.配置nginx
0 I* t, I/ |, t$ z; V
. U* D0 m3 x* B0 N7 R. V* N. f2 q9 x在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
( i$ c* R+ U8 P7 `7 {  I* ^* v下面是两个示例配置，php虚拟主机：
3 a' V! [1 X% c0 K7 A* d; j" {2 w
server {
& p: Z% _0 S2 k      listen      80;
4 Y2 Y2 l! U7 a7 O      server_name 52os.net www.52os.net;
- n) o  |9 ]* a7 X/ ~     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
" n' G% ~" {( [9 ?! @' d
      root /web/wordpress;
      index index.php index.html index.htm;
  
8 J7 }$ Y" L7 l; r" i# P      fastcgi_pass   127.0.0.1:9000;
: L  U. m+ `5 x      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
% y! C7 Z& _. j; u, k( E: }  R% j      }
  }
upstream负载均衡：
0 J" T4 e  [5 N2 |, |
9 r  H6 z8 G4 @8 ?4 supstream 52os.net {
    server 192.168.1.100:8080;
% V4 q5 [* E1 x    server 192.168.1.101:8080 backup;
" N6 j7 S& C9 y% s7 @" z. N' y}
6 R, D: R' _0 l5 t2 B9 D& C
5 G9 A2 J4 r; E& H& ?) Lserver {
listen 80;
8 c0 Z5 \& U, }& m8 a- k  e* x0 Hserver_name 52os.net www.52os.net;

( w8 t, H8 B$ ?0 z" ^( z; m) M" ulocation / {
    ModSecurityEnabled on;  
2 B4 a  X! m" H/ ~2 M( g) k    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
: l* o/ C7 X$ Q: q" w7 [# D( M        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
/ j& J4 Q, n" Z+ F+ @    }
: T7 I7 ]/ P) |" n1 c4 {0 |}
3 C, j: o; G( N3 B/ ^六.测试

  L7 ?  [! Z5 d+ _* |- T1 f) t; ]我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
  Y8 \5 Y0 O( v  O8 A
<?php
! N" J, E6 Y; }9 P' Y    phpinfo();   
3 P, S0 L4 e9 _# |- f  c?>
2 z: v$ q! @9 L7 b" H8 {! \: a在浏览器中访问：

: U6 L, k" w9 `3 a" F9 xhttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
$ n# q3 I  L7 A, q1 xhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
6 X2 e- s, ]1 w说明sql注入和xss已经被过滤了
1 t, \2 s$ p* p6 Z, j
七、安装过程中排错
8 `$ F6 T& Y8 L% d: n8 K7 j0 S
1.缺少APXS会报错
  }% w5 ^# _! [$ O
) M! v# ^& c6 H9 K" e0 Qconfigure: looking for Apache module support via DSO through APXS
1 D# U$ Z* ^2 D& A9 P. u8 G7 l3 Xconfigure: error: couldn't find APXS
9 E% u% u; u: h+ fapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
% I% d# F/ `* y3 j' x% t解决方法：

yum install httpd-devel
2.没有pcre

( t6 L  Y. B- T# Bconfigure: *** pcre library not found.
' ~: p. U+ |& B, _4 ~configure: error: pcre library is required
7 T* f; l( n( a& x& h' k( Z解决方法：
$ @& e1 V& [& b- U. o7 K
yum install pcre pcre-devel
) M, b# J) j: X4 ~) O3.没有libxml2

. |$ W$ \- Q% u% n) m* b1 `6 s
0 H; e/ S( V9 C2 q- u  ]configure: *** xml library not found.
configure: error: libxml2 is required
2 ]0 E$ E8 J& \7 r2 g5 D/ a解决方法：
% Y6 J2 ]! q! z8 J
1 S! J9 a  X* n" L6 ~, a% S& yyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
' Z2 P8 q) G7 D& J2 Y! |
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
7 c4 ?' |" t% w' a2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
' _7 G, H9 l3 d/ b7 d/ Y& U解决方法，移除低版本的APR (1.3.9)
* {$ g, ~' d" L
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
9 x" p: M0 ^: h& k
, h* @  C- W6 \, F% y3 @* q2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
7 s. z$ F6 a5 ?; D2 Y解决方法：
5 O3 |$ k+ g% f" j4 ?/ L2 J编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
: u* l& t, G( P: Y% M0 `SecAuditLogFileMode 0550
# b' |. v, x' [/ D% d4 ?# I+ Y& L: ZSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
2 c" X9 t1 K$ Whttp://drops.wooyun.org/tips/2614