nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
  y& T5 D5 K6 K3 O1 I
9 |4 Y3 D0 e  v/ W. [一.准备工作

* x* v) G! _3 y- G& f3 j/ A系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

$ C% [" m2 Z( L! Y# Imodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
5 S/ a5 Q, U2 Y. R1 }+ d4 ]
  {' K; H4 M$ g7 F. mOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
" v% y3 q7 ]; ^8 h. x, B
依赖关系：
% _6 i" q( l+ `" s2 ?8 K0 _1 ctengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

4 P8 h1 M9 N: f2 \yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
8 S0 O5 u" U3 }- R- c8 }' p% K( zmodsecurty依赖的包：pcre httpd-devel libxml2 apr
5 Z! D6 o! H) h+ o6 p* B
  E. U- P6 H0 c# z) H2 Zyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
1 e; x# O. k$ A. K5 W. L6 G( G  V6 d
2 |$ \: c7 `2 @./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
3 o* w. l* h- |8 i' S
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
! r# v5 S: n5 n
3 c, U* _6 d, J; s- k# X./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
+ I) K& L, l( j  c" l# I: t+ \make && make install
四.添加规则
3 W, m  R4 T/ D+ y. f0 x6 c
, K+ N5 c2 E! v8 X* m4 amodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
( g/ [3 B) d3 u: N/ z8 _% r8 R
: l: }5 G  |" }. S- x2 zcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
: d( ?; u* f* P1 g2.启用OWASP规则：

6 G% B; F+ M1 U- [! }$ @# E5 t复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

! L+ o; @9 a8 o; `) Q6 w- h编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
  r" d" s5 X9 s1 ^" i  eInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
  A6 g' X6 Y8 oInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
  w. _8 z5 Z  H# K* _* PInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
% J3 f+ Z/ a* M! ]/ C) Q0 h; y& FInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
' x) J0 ~+ t$ E- p+ Y. A8 i8 V五.配置nginx
" ~8 v; W+ z6 p, W4 t% C
在需要启用modsecurity的主机的location下面加入下面两行即可：
) \2 z9 `2 d2 p" U4 `! V8 s
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
* j& z9 D% @; U0 b# X7 R      listen      80;
      server_name 52os.net www.52os.net;
# `( z% U' i4 n, @0 d     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
1 E, n  q; U( ~" T& c+ q
      root /web/wordpress;
      index index.php index.html index.htm;
$ c6 Q; t. R2 U+ K( @  
      fastcgi_pass   127.0.0.1:9000;
8 x; k( v" W/ E9 P# r, y      fastcgi_index  index.php;
- q% u9 _5 o# z; H, r2 N7 u. A      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
. [# k/ |* ~, A$ u; k! o* D+ p  }
upstream负载均衡：

; i) Z1 N  L! j' Y+ g* }4 hupstream 52os.net {
    server 192.168.1.100:8080;
4 E, m4 A" N! X7 i0 D3 K    server 192.168.1.101:8080 backup;
! P2 a; k3 O' ?, p6 q& o}

server {
9 P7 F( E7 e  `3 \$ \listen 80;
: R5 {) m6 h$ i# y6 u3 qserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
4 |6 b% D. {, z. r6 }! F  t5 S. \    ModSecurityConfig modsecurity.conf;  
! }3 J; j1 t5 i: T+ P  X
        proxy_pass http://online;
        proxy_redirect         off;
9 X- U% z/ F% b- w        proxy_set_header Host $host;
9 k( F, t  l9 Z' q1 Q4 \* u' _        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试
* n  ]/ z; I9 \# Q
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
- N/ v- c6 P7 L$ P- X5 B在浏览器中访问：
, j8 l1 W) d2 V/ ]; k0 p
1 h6 K* l$ A% p& _4 uhttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, u/ Q7 i1 _' whttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
1 @( {0 [' o2 Z/ o" `+ U* x说明sql注入和xss已经被过滤了

4 J2 B& r, K5 W& r七、安装过程中排错

1.缺少APXS会报错
, Z8 t7 L0 [( R! [1 q1 _3 M1 e- J- E
configure: looking for Apache module support via DSO through APXS
) f: A4 V; r2 v2 s* x* ^configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
, Z7 o8 P0 O" I8 w! x, a, V* X. i7 i解决方法：
6 Q; R) w5 O8 O" }
1 `0 {8 W9 ?& R/ e: O: Zyum install httpd-devel
! m  n# Z) S6 q4 O' G2.没有pcre
) F- p7 L: y" a: V; g
configure: *** pcre library not found.
+ y- m9 c1 N+ M( F) Dconfigure: error: pcre library is required
# @- V* Z6 w1 K解决方法：

yum install pcre pcre-devel
, r' x; B) c. x( `3 R" N+ Y, @3.没有libxml2
/ X( N0 j' b# t" m
! [+ @" n6 Q+ v! j; k0 S
2 m# k, J  M9 o& h& t9 ]configure: *** xml library not found.
configure: error: libxml2 is required
! X" b/ y' x6 u: A1 {5 [$ Z解决方法：

8 q3 E- A8 }' t/ p# x/ C0 \yum install  libxml2 libxml2-devel
( v! r* a/ \3 M, Z4.执行 /opt/tengine/sbin/nginx -m 时有警告
; `7 F  K% t6 _& v
& `/ {* B3 l3 |4 Z& {Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
( Q- {( `1 I8 N% q9 u" m' V! [7 m原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
6 `+ c; d$ ~3 Q8 c# w. T% N9 j; @2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
! h4 a( u! K; A( T  r0 C2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
7 X* Z4 w% N! Q' u- I2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

& N  c8 b' x/ n$ Vyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
( N& U, L. ?9 p
' U% ]# G4 N5 r! Y2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
6 b* n% F' X% E; eglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
2 H4 B; x0 k$ {4 Q, s; P" a解决方法：
9 c: |5 C) m' D) N$ \编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
* e" e0 Y/ r# K3 F* pSecAuditLogFileMode 0550
* u# p+ P, N. |* p. V) q1 m2 _  E7 FSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
; z) M# y7 N" F7 o: V- [) H$ C参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
2 }( z* G/ V# p6 X+ Ohttp://drops.wooyun.org/tips/2614