nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
' M/ |  f5 u% Z; V! {$ C  }
一.准备工作

1 T5 Y1 R( c  `; n系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
- }( ]5 G/ }1 P) w4 W
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
0 x0 a- Q: j- {/ D1 i! D
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
8 i, ]% l% b% L! s2 T
5 X$ A) e$ ^/ e* I2 j+ E  C% [yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

. x* `4 _7 y1 W0 z2 F./autogen.sh
; ?% H" q" B3 t! I) y; [./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
. j' k3 w' @$ z% F6 @% c
- E2 L7 f5 j* k3 x./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
/ z( k8 N8 B& y四.添加规则
/ ~( c# n" v7 @; o: D9 f
& s; ]+ E" X$ l: M1 W- `8 tmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

& O7 M8 s. A6 V1.下载OWASP规则：
! G7 i5 W+ i. }; I# B* A( x  y
: G9 V$ x/ ]! pgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
. [; l" d/ y8 N- i! Y  @7 ?
mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
: A5 ~7 j( g* o  H  A3 p0 w2.启用OWASP规则：
0 q3 R6 U  P9 @& F
6 V6 N7 J9 {$ ?, ~  j# W* ~复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

  R3 {5 \: g* @! uowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

* c# H! @9 ^3 q6 a; vInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
; q% |: K$ g$ SInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
$ p/ m6 v& U( ?6 O" oInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
6 \* R4 g: s- ]* q0 u6 T% mInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
  |: H0 X' o( |/ y, b% s3 hInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
$ H/ ]9 G1 r4 i/ ~8 n9 T+ ]Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
# V, g1 g. E  G6 t( _五.配置nginx

4 [$ G  t8 A4 J& h! d$ ]  `在需要启用modsecurity的主机的location下面加入下面两行即可：

7 \0 H' P! I6 O" |6 Z9 R  PModSecurityEnabled on;  
8 q2 Z) X2 e! K- ]8 X! c: J, E$ xModSecurityConfig modsecurity.conf;
3 J( h; ~7 G' K7 F: A5 }7 @下面是两个示例配置，php虚拟主机：
, u" }* m  Q6 E; S% @
server {
      listen      80;
0 u4 V8 [2 t4 Z  ~0 p) A8 ^      server_name 52os.net www.52os.net;
+ p7 z/ @2 x& x, l. u3 J' d     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
/ Q# T6 w  Z8 ?  X" n: T5 e
      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
; |% v$ O: t2 S  f, `1 I      fastcgi_index  index.php;
6 m" Z- Y( ]$ [6 |      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
9 i  B9 H) K  A4 k' F# E      include        fastcgi_params;
/ q4 F& S- e) d7 B) o4 M& L3 h      }
  }
upstream负载均衡：
/ K- Z; u- g. ~2 {* T5 b
0 p- j' W& h. p& f( Mupstream 52os.net {
' V: C0 b5 e5 C6 o( w9 E    server 192.168.1.100:8080;
7 a) L- M0 U7 D$ S& s    server 192.168.1.101:8080 backup;
}
# U; E4 A9 n7 w" u
server {
listen 80;
  B" n: |+ U) Q( m) _: K5 J1 w/ Q) V; dserver_name 52os.net www.52os.net;
% N+ d. Y, G/ c( z& O
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
7 ~+ V4 y! }  @) d        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
  v0 `4 A$ D8 P$ [7 Q    }
}
% x  W) a! H- K- ~六.测试

6 N' d/ u7 r) a" O我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

4 g* t5 v' g3 z+ Q6 Y$ @! l" J<?php
    phpinfo();   
?>
8 y3 K2 D2 J0 T3 D. {2 ~. n1 Y在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

  j* W& [$ D5 O1 v+ ^) T七、安装过程中排错
! D1 Q- {8 E& J& ~9 i
1.缺少APXS会报错
$ j$ _$ |: E0 V* T4 q4 B" U
5 |$ Q! a% G3 T9 Cconfigure: looking for Apache module support via DSO through APXS
$ l- O, h1 L8 e% L2 v# uconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
! W) y$ ^; o: f; A, l解决方法：

8 _* A. h2 p4 S! _: ~yum install httpd-devel
! x. J0 x' @' \4 z8 h2 D2.没有pcre

configure: *** pcre library not found.
8 ]) K$ D& o. b2 T' _* ?configure: error: pcre library is required
/ e4 l) c2 j: l8 r# U解决方法：

3 q, a* m9 f/ Nyum install pcre pcre-devel
3.没有libxml2

' H& U1 J: G" H' q2 Y
2 S+ a3 I% `, k: n+ ]configure: *** xml library not found.
3 R9 D  T8 x/ Aconfigure: error: libxml2 is required
0 f- n- z6 I4 h5 [  P$ d' s% {解决方法：
# y+ M( C2 C1 }  _. J- G( L
, ~: R0 t3 f: U" f+ qyum install  libxml2 libxml2-devel
. s4 Z9 G! c' {7 W( P4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
# i  m/ d$ q6 K" \) N, H原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
! U. V. U, a' D( M& w. T
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
& r4 ]- ]: m. c6 F7 ?6 |2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
, J1 B% m: n& ?& Y2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
* F) R& M: c9 n. _解决方法，移除低版本的APR (1.3.9)

# H; L# M7 Q: G$ M, Gyum remove apr
: b7 ~8 g: k) s$ G+ G& e8 W5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
( B  N9 O1 o* e$ b, s- Aglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
3 U1 f8 S- c' E# J4 ~5 i+ }编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
* j- k  x& @1 e7 B
SecAuditLogDirMode 0777
8 W1 ?7 b" W0 [, X6 |SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
2 Y$ _" [; I" X- _, z( Z2 I参考文章：
2 {; f+ b7 {4 o5 lhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614