nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
0 ~) |! T# Q6 m# i
一.准备工作

3 [& b$ g- x" I, Z# f4 M3 S$ Q0 K8 O系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
3 F4 ~8 x, |8 V2 [
: f0 t* y* z0 U" H* etengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

$ g0 y) H& Q  cmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

8 Q& V3 m+ a8 U& Y1 ]& g# YOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
/ l3 i) T/ f6 W  `* I8 k
8 f$ ~" e+ \% q. g依赖关系：
3 K3 ^' t+ ^# w$ E/ utengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

' G3 Y1 L9 V; \. Cyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

; S# D: B/ `% e- l, v$ X+ {# ]yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
7 R8 ^$ [; m; M1 v' S! I二.启用standalone模块并编译
0 h& ~9 `6 T) ]$ T5 ^
& j, o7 M; J) R: z( ^下载modsecurity for nginx 解压，进入解压后目录执行：
: ~! u, t. r( g" `4 l# A9 q/ y
7 Y3 i: o4 {, M7 u/ |& h0 A./autogen.sh
./configure --enable-standalone-module --disable-mlogc
+ R$ B' q3 B8 {9 A: rmake
- j9 p6 A2 z; T# _6 [8 P0 j5 w三.nginx添加modsecurity模块
0 \2 ]  ^* y# S( S
8 F7 e, T* a! a( O  g/ z# G在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
7 a- I5 o# n# |, @make && make install
四.添加规则

  @* ~, e  b7 \- |/ |* ?3 ]% Smodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
( w6 o& V( n* Q  A$ Y
1.下载OWASP规则：

. U$ ~7 x& B/ I2 B( m; @git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
" r4 |3 h" L; x9 P6 o" w
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
8 ^* [% ~* V* C1 H5 C
8 r$ L3 f6 p6 J/ [# x. I编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
0 ]- W7 @  {9 d. I  @) e4 G! [
8 x# a0 V- G) Z8 R2 s0 |- H$ @owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

* ~" g( m3 d! T9 l7 x. i6 \/ bInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
* l1 e6 r% U( J7 K0 ]5 M- l- PInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
# m3 F) M' R% S+ t' c' w1 r3 P" r* `Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
, A+ u4 G9 I: O3 N' ^) ~4 RInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
$ t8 v* f- O8 N- K3 q五.配置nginx

) ^/ b7 O7 x- S4 I6 O在需要启用modsecurity的主机的location下面加入下面两行即可：
* _7 I/ d) F, V5 i8 N4 C8 i8 i
" }- K) v' y8 r' @* m2 UModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

3 Z. E4 H- e$ ~5 Y: I" R7 _9 S3 ~& \server {
* n) k/ O# ~$ N% ^5 L3 d      listen      80;
      server_name 52os.net www.52os.net;
+ W  `, E2 q. g7 r0 m3 _! E     
      location ~ \.php$ {
6 J: H& `  [- l8 U! {4 f) U+ q      ModSecurityEnabled on;  
8 N$ Y  m+ ~0 m& P6 V      ModSecurityConfig modsecurity.conf;
( P# j: F2 Z8 F- E+ ^& D
      root /web/wordpress;
      index index.php index.html index.htm;
$ g8 c7 B9 w6 F+ b. Y% F  
: H2 r1 j0 i6 b+ _      fastcgi_pass   127.0.0.1:9000;
& R! W, b6 w- q5 ?8 Y3 B5 G# I$ h      fastcgi_index  index.php;
' `  @( h7 t, U' m; p      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
3 k9 q/ s! k' X' c      include        fastcgi_params;
3 D* U5 ?2 W) P$ E" K      }
  }
, ]: `# D0 i) n% h9 f3 n8 }1 Xupstream负载均衡：
  L) O+ g9 \" V& ?; m
upstream 52os.net {
    server 192.168.1.100:8080;
1 [/ V7 }0 @9 l7 I- Q1 k! I    server 192.168.1.101:8080 backup;
}
, p5 d5 O8 r. G
* M5 w# `' ?2 h3 A% Vserver {
0 M4 }1 ^" }8 N! f3 E0 R, wlisten 80;
server_name 52os.net www.52os.net;

location / {
2 J# E) ~2 k7 |* W. y/ L* Q% i4 T    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
0 u0 K6 T0 h  e- f8 B
& o" ]1 X/ f: e7 D& z" G* ?6 K) P; Z        proxy_pass http://online;
: y, T: s& s4 M- S0 G! O' D: u        proxy_redirect         off;
+ M5 I8 I7 X, G, ]5 m        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
$ z. }* W" Z+ G, J( r    }
}
六.测试
  ~/ H8 m6 i+ W& `1 U/ E
" N# I" u$ J$ X. F" \8 u+ a我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

. a# ?4 v# V  o2 `% U<?php
    phpinfo();   
/ L2 z" g6 h- j. {4 }9 O2 [# ^?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
# C  n9 g7 u) r6 l# p/ Mhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
+ `8 ]! m: f7 y; @http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
  e! l0 Q* F# a
  g- U' |6 z+ p9 g  h( v  x( ~3 @七、安装过程中排错

1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
4 G6 ]5 E; U6 k) S( D解决方法：
  D6 D; o, A. I" |
. [& K( M( T" V. @+ C0 ]  m. |8 G( _+ Myum install httpd-devel
& b: L' t$ V  h2.没有pcre
2 Z; I; n; g/ B
1 ]% ]/ a$ I- H4 Z# Iconfigure: *** pcre library not found.
configure: error: pcre library is required
% i4 }/ Z6 X! \! ]2 g5 q+ a解决方法：
( j: F" S7 [0 s
) r" ^- H  }8 H( Yyum install pcre pcre-devel
* A# c* H- t9 q' k3.没有libxml2
% `6 ?& Q- @- _1 E  ^. B: J& r

- u/ R/ S. |: x3 x% y! Kconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
3 B+ {1 j, m) t, T2 H
* ^( `& \- P1 F5 g; R' xyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
/ y- o7 z6 Q$ a" `
1 j7 b- G' G" a- o; PTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
5 ]$ h6 `$ a1 h# W: x2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
1 ]& x1 f  ?' ?: {+ X
yum remove apr
4 X3 d3 p# P: H1 A( A5.Error.log中有: Audit log: Failed to lock global mutex
- I: h7 f: {3 Z* O. {, `( r/ H
% C; |/ F% D& r1 O+ _/ \9 h) a2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
" X% o. L- @. N% nglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
: T7 j' s, n. X* @( x& \$ ?; u
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
' b' a7 N2 V' n- J: dhttp://drops.wooyun.org/tips/2614