nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
+ j% \5 C" V! Z: [; }
8 N. p+ l, ]' \; ^modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

& H- ~" o& Q/ |: p& Q$ X% BOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
/ `  C' `( S- D6 Stengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
1 o$ q1 @/ ]; r& w+ Z( dmodsecurty依赖的包：pcre httpd-devel libxml2 apr

8 D2 W9 t3 C0 f) b8 Q& {( Syum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
7 g) }% }9 K6 O5 y: u
  G+ ~4 S$ g" \( ^! |! P/ N下载modsecurity for nginx 解压，进入解压后目录执行：
/ Y) T7 _5 O4 H
./autogen.sh
6 L1 z# Z7 C. H# G./configure --enable-standalone-module --disable-mlogc
9 S2 q+ S1 ~$ ?make
三.nginx添加modsecurity模块

( U- K/ p$ [- ?" A在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
- a% q3 D' M! u2 c) X, {( B" R
9 L/ J/ {7 T5 H* B8 K8 \" {./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
0 C$ T6 C+ o. d) i, G4 V& c! V四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
$ S/ J1 w. q2 d3 E) m# i
1.下载OWASP规则：
, d1 c: @# Y) N9 S! V, c9 H
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
3 n, }, r/ o' s5 B$ \: Q
7 x. C5 g0 s- V# I$ k! u+ q( i6 T$ bcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
- `0 v6 m$ S3 g/ i. r$ B2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
9 \) ^% I6 y5 J9 a) r3 h, Y6 Q
5 j4 u7 m! Z; S4 f, \编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
$ ~& |, _$ \! Y0 l- e% w
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
5 c7 e/ @' q- Q! y3 B" z. jInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
9 E5 x2 {, A* b7 k0 [Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
  |- v* M& Y& m! @Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
3 y6 h; A0 O5 P五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
9 m. j! l6 u. D* f2 P" Z
ModSecurityEnabled on;  
4 H# A5 K0 s9 YModSecurityConfig modsecurity.conf;
) P' Y' A. O, E# |) b下面是两个示例配置，php虚拟主机：

  _! K& T! ?9 }4 F" t; e, Tserver {
4 n) ~0 a0 e8 k) e1 [$ Q      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
% l3 p; [' z7 H5 @: y8 W
      root /web/wordpress;
. J$ k9 E; @9 y/ U& y      index index.php index.html index.htm;
3 U9 y& L4 v1 `* V4 n  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
+ M* f$ W- [' }5 H% D" i      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
  L- f& B3 h+ x( x! h5 M9 n/ [      include        fastcgi_params;
) Y+ e6 C3 t4 Z1 o      }
  }
, d; m$ `( W; X0 Y6 u- U5 V/ mupstream负载均衡：

upstream 52os.net {
' ?; q7 L( [' k3 R1 w    server 192.168.1.100:8080;
! y: B% k- i4 o    server 192.168.1.101:8080 backup;
}

: x1 y: L8 r" Q) g8 w, i9 oserver {
, q# e) Z9 s: I: [listen 80;
9 d1 \5 _6 C2 w- M5 \. rserver_name 52os.net www.52os.net;
+ A  w! x' r& j+ ?
+ |, S0 G+ F  P! Y; \location / {
    ModSecurityEnabled on;  
  C% y0 B! e/ d    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
! ^& j$ _" U6 X5 A        proxy_set_header X-Real-IP $remote_addr;
  Q% C; J$ _* D9 [! y( S- ~, {        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
) M1 t9 a5 X0 E" X  S. ]% [6 D}
% m  g, s7 k) q2 A六.测试

# N- c' Z4 @7 F& t  n" Q我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
! s) J; h' c6 d* v% F! @% }
<?php
; M: A% |$ E+ b8 R    phpinfo();   
?>
/ t6 C8 ]0 V8 }7 j在浏览器中访问：
$ g$ O5 |* l& a! }3 s
$ T4 m/ @& R  K2 ~. ]3 x+ Uhttp://www.52os.net/phpinfo.php?id=1 正常显示。
' S! Z, H4 i$ L$ Q  ~- Ihttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, C# \9 F% l) M' O7 [http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
, s) P& I/ J2 F8 _& _
" h0 s) @2 x) S4 @4 @- }七、安装过程中排错
: G' e1 n1 _1 A& s
6 l1 F4 }5 K! Y1.缺少APXS会报错

! [, W  j1 e% M7 V  R, C# Econfigure: looking for Apache module support via DSO through APXS
, h: {1 x& A2 Kconfigure: error: couldn't find APXS
& n2 O' M: |+ t' S. ^apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
2 i; v4 U% h5 q5 m7 r. q1 G" E6 V
yum install httpd-devel
/ H4 \0 W/ w3 w4 L+ A: D! s8 P0 D( v2.没有pcre
5 Q0 V) A; J+ d  b- ~) \
9 t/ A% r; f! z; cconfigure: *** pcre library not found.
configure: error: pcre library is required
9 s* x% l  w" A5 V: l解决方法：
$ I- }/ ]' B( r/ ?$ x
yum install pcre pcre-devel
' i! ?9 @) s$ `( Z, j3.没有libxml2
8 T) X4 M1 L$ y

configure: *** xml library not found.
configure: error: libxml2 is required
/ D( s! k& V7 q: C: Y' B解决方法：
) R* b. F) n) j$ O8 g1 a- H, t
1 l6 p; H/ ]. }9 Byum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
8 _: b2 H: ]5 |4 X/ x
( {" l- q6 h' ^8 ~/ BTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

/ F9 A+ Y/ {7 ~1 q, q  M; e, T2 o2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2 W% V* \( Q, s% i! [2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
, J& ~- o% Q6 |) I* ~
& U2 j1 }/ y3 q- J, S! G$ Gyum remove apr
! @0 a0 z: v* }% C$ v/ j5.Error.log中有: Audit log: Failed to lock global mutex
8 ^) ], J' a; G8 `0 D8 D
7 }8 y" l3 }' s% `/ e2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
# u" s. `4 R( F8 N4 _+ ?0 R9 Sglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
1 l$ p  G* R$ g4 X: A
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
& E% @( F& p; C3 G7 b# l2 h6 VSecAuditLogStorageDir /var/log/modsecurity
; U! M* w" s7 q! s% g8 zSecAuditLogType Concurrent
参考文章：
# s% s- S' D/ r9 M3 f0 ?https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
$ t3 `' `5 T2 s) a: O4 fhttp://drops.wooyun.org/tips/2614