nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

; V) U, E  A( o9 Z' a一.准备工作
! q1 u5 L9 w9 S
3 S7 Y! d% O; i! u. `2 V6 f- a4 t系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
- N" ?+ ^$ K% v, n; M3 |, g6 L% m
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
- _/ N  c! A$ m& d  ?# K. |+ _9 S8 }( w
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
. V& o! S7 {0 ~! N! n
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

5 Q1 I5 W6 c- J, P" Q! Myum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
3 u  d& U, \! W* W+ b/ M( vmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
; T) G3 ]! d* D- g5 t二.启用standalone模块并编译

7 b' R1 |4 y3 _& e! W* g. h0 Q9 k下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
7 h0 y) f# \/ M: Y  w& m* Q( [make
+ o; i0 Q) O2 r8 h: z. ~1 R8 D& w三.nginx添加modsecurity模块
5 ?4 Z. _) H% G, F
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

* D2 g& J; }5 M: v  b! h) l: \./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
* u" m* b3 ^9 c6 u四.添加规则

! J# T" D+ D' S. f" T$ b- imodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
3 H6 `& ?' }$ S8 f9 V. V" J
' `2 T; L- i; I, o# D) U1.下载OWASP规则：
: ?& U" P8 F3 E( @. w8 V
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
% e8 x/ {% P% `- P2 q7 g# M6 K
* ]3 r4 r, F; r# I7 Nmv owasp-modsecurity-crs /opt/tengine/conf/
9 B# p  e- M6 @1 ~3 Z+ v
0 C/ F2 J& c: ~7 l! Ccd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

" L4 M. ~- E  Z' l复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

6 j) D' |/ [* e) r* H8 j/ Qowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
- R% t% S3 N$ V( W7 p  O# J' [Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
5 t7 x- T9 Z8 |/ D/ l. AInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
1 H/ N0 K5 K* s/ ]4 _Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
& F5 c5 H: X# z, `3 oInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
8 F  a0 o: n3 d9 @5 F- e& BInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

$ T3 J; X& i: u1 K在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
4 ^# \: ^( _0 N* r6 S6 k( q9 m9 HModSecurityConfig modsecurity.conf;
( m3 Y9 N# o7 X, M+ c9 g. F9 @$ N下面是两个示例配置，php虚拟主机：
& Y( b8 D$ N; \: E- S! L. c5 N- @
$ U  T2 [) I0 U) O* Cserver {
      listen      80;
( W5 v$ Y' w: f7 M      server_name 52os.net www.52os.net;
% c8 e7 u, D% ^9 N2 e! }# I3 C     
, r' z$ l" b9 X" z3 N2 }/ w% ^9 W      location ~ \.php$ {
      ModSecurityEnabled on;  
: S* W8 G# r& M2 `; L: g2 l      ModSecurityConfig modsecurity.conf;
. N1 K5 e. w3 R* r" J! {- A
      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
! H6 ~% Y/ T- a5 J. K      }
  }
$ Q5 r- l; X- {; o% R+ iupstream负载均衡：

/ v7 A; _5 D: Nupstream 52os.net {
$ O  V- O( _0 m/ l" T! j    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
+ [! [- J( R( U8 }& V
' M+ W+ z2 P8 I2 userver {
listen 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
' }% J" Q& G. w5 ?! E: ^; L        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
7 Z9 R0 A$ g' Q) m0 i        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
; O& o: ^- _* l0 S- `六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
在浏览器中访问：
2 n5 V* O$ J& C8 ~: h9 Q
% N" N( {5 Y4 M3 g: ?http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
4 [: C, J) h& H3 q说明sql注入和xss已经被过滤了
5 o6 @5 c+ H) O9 x7 o  Z7 N
2 w! D% I9 S) }- x$ M" t七、安装过程中排错

1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
- o2 [# I, O3 E  wconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

: A0 k) R" k5 c( ]7 z4 Zyum install httpd-devel
% w% H( ]  Y% T3 A8 T9 r* t+ p% c* ^2.没有pcre

; d6 ^/ [' |* j3 T0 }6 yconfigure: *** pcre library not found.
configure: error: pcre library is required
1 a1 {$ _) g" {  O) l( E解决方法：
" K; c2 l$ Z* m  M
yum install pcre pcre-devel
3.没有libxml2
; B$ l3 Q. o5 X  A( {  R

configure: *** xml library not found.
: ]/ U. R( i! q3 ?. Dconfigure: error: libxml2 is required
6 a/ n. a. |* A- o, P: [解决方法：
9 o  E* \6 G  n/ \. ~7 A9 k  P
' ^( x- d7 _- G# f" h6 Nyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
" u2 n  Q: H, L3 Y7 O. G7 L; F, V
7 a4 V4 X6 u2 ^5 JTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
* T+ ~+ L+ ^8 D* h# K% S2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
- m4 R( R2 \! {% ?) ?/ M2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
8 N2 [2 W4 u1 T  H7 }: Q解决方法，移除低版本的APR (1.3.9)
* _# a9 S6 r0 u# v6 H9 m
( _) s5 C7 @/ |$ A7 u1 U" |  pyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
9 o2 h$ r5 H2 Z! {" R. ~) M
, S# W4 q; U! T% h6 M2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
$ P' B5 c- r+ T" V# w& e编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
. m2 c! G, p6 f# Y1 nSecAuditLogFileMode 0550
$ X( i, t  z4 d/ f$ kSecAuditLogStorageDir /var/log/modsecurity
- D) `" Y- o; NSecAuditLogType Concurrent
( l. h- s) w4 d  y; Y. P1 K+ X1 f参考文章：
. J6 w$ Z' x; X( k8 o7 I4 \8 D$ Ihttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614