nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

9 G) [0 W2 f5 ]8 n/ F一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

) E7 z! C" r% I; N9 Z: k1 ^tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

8 H6 _4 g* f5 x  y' K: kmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
0 M' F9 @. G+ I6 {
$ \/ [' ?/ M& j. Z) Q, m: a* `OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
1 \3 A5 F! h! r: {6 P# [1 I
' t( o! a! ?7 K  r& _3 ^9 c依赖关系：
" O, b8 F6 [5 U. e' }tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
* s" E' H2 V+ e7 P  A
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
$ D& [& k- P: m1 X二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
  `/ b: p9 W# a+ p) ]( Z5 P/ X
. s6 ~5 q- N6 J./autogen.sh
. n0 \" Z1 |; W1 ~$ W./configure --enable-standalone-module --disable-mlogc
make
' d" Z" k7 _0 S, ^% O  T三.nginx添加modsecurity模块

$ N1 H: G3 U) l在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
& C  u0 x' d& g: n; \0 A3 c# P: U
- j: k5 n4 Z5 D1 G. t2 l./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
) y5 P' r; {- x" W! hmake && make install
四.添加规则
& ]# m: X6 }, b; i8 F7 P- G
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
9 U. h1 _7 }& ?. ]: z8 r/ s+ w
1.下载OWASP规则：
2 d/ ^! k$ V1 g7 B6 p# m
7 |( X7 M% ]7 V( K" }git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

2 @/ {9 V0 U- e9 A: }: I& ?+ cmv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
$ m3 c( ]* t* x2 c# V
! u  n9 e7 }5 d9 J: k7 Bowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
+ D2 ~1 U  x6 l3 Z4 b
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
; D, G- z: o% ~) |0 _8 ~Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
# l- S- y9 B/ U, W* v" y0 _0 s  Q# YInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
$ A4 Y5 ?* m8 C$ h7 cInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
7 W) {0 J, |3 M9 C8 M( X% }Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
+ s  {) G. a; \$ v# k
在需要启用modsecurity的主机的location下面加入下面两行即可：

/ A! ^7 e1 _' @  @  M$ x* _ModSecurityEnabled on;  
  B9 ~2 }  P9 D1 j7 ?ModSecurityConfig modsecurity.conf;
% z1 z$ l2 Y% @. L6 c4 w; A/ T* [下面是两个示例配置，php虚拟主机：
) O# Y* T8 g6 {. U
server {
. O- m! E$ S/ N. X      listen      80;
0 K' C/ R" M8 L% T+ ~: f: K      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
" {# |  R+ m7 x6 W( o      ModSecurityEnabled on;  
. r( z4 u  o% s* q      ModSecurityConfig modsecurity.conf;
( S3 [% E3 ]/ B# N9 L
      root /web/wordpress;
! Q, z8 H. _( N2 A      index index.php index.html index.htm;
0 {, Y4 \9 {% E/ ~3 F; Y" G1 Z  
      fastcgi_pass   127.0.0.1:9000;
! h, `6 J1 I/ s! ]& C3 n+ y. r  _      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
" j3 K! z1 G$ J* ], k/ @1 L0 O. z      include        fastcgi_params;
" {) _! @) i2 K" h      }
  }
upstream负载均衡：
0 e3 x3 h4 J7 W6 d
upstream 52os.net {
    server 192.168.1.100:8080;
8 x% s  X1 {/ B* o3 k    server 192.168.1.101:8080 backup;
- b# X' v- b: r0 Q4 k' e5 I}
7 W5 S, f8 ]. _7 h3 G
. G+ d% ^) q5 B* y* eserver {
listen 80;
! ~( x- [0 j) F: V$ hserver_name 52os.net www.52os.net;
) E* U" R" W. B, _3 J! m+ }9 `; z
) }, ], ]0 L, n% k) {$ Plocation / {
/ C+ q/ i8 h% ~* F    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
  Q/ O4 g* [. L2 b/ [        proxy_redirect         off;
' R! q& C: v% ?+ C        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
: q4 U  E4 J1 |$ I        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
+ s" s0 W  v( n' V; {0 N+ y" @    }
}
: N# Z9 o9 E" T* V3 M六.测试
4 \7 Q# X: Q& I% R; l, Z" s0 b
% \% i: Z) I8 J+ Z- i0 `5 c- \我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
$ A' S0 s) c- f  q5 n" h2 L9 [
<?php
    phpinfo();   
, [5 @0 V! O2 y( t% y?>
在浏览器中访问：

2 f( `) A( W9 {* X8 Mhttp://www.52os.net/phpinfo.php?id=1 正常显示。
, c. J4 c4 G' H* ?+ Dhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
0 a* a# s8 P' khttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
( w5 |3 ^6 k3 A9 _( g
七、安装过程中排错

1.缺少APXS会报错
, i5 e/ G, |# [$ {; Q6 y
, ^) G+ p* z8 L8 h$ b0 k3 Econfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
6 E5 I4 E3 T8 |6 y/ ]& eapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre
  R  W/ H* M1 V5 x& Q: J0 D
* v( i6 c+ a- f: _5 g8 Cconfigure: *** pcre library not found.
( ]% ^+ r) b* u" Kconfigure: error: pcre library is required
解决方法：

& d" S: O2 g1 W, q2 M& N9 pyum install pcre pcre-devel
% [7 l: e  q6 |( y( Z5 @3.没有libxml2
: [! w$ L( I, M5 y! G$ g: B1 |

" ^* t: }4 r- D! ~2 m! @' c( Xconfigure: *** xml library not found.
$ J& J$ ~* k) J1 K+ Tconfigure: error: libxml2 is required
* T6 f  K) j/ F) w解决方法：

; H, a% l0 m" M+ ?2 ^3 }$ K- Hyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
* n5 ^2 y6 G0 P' k  O
0 o. Q+ @+ W1 h3 |4 v) L0 g4 RTengine version: Tengine/2.1.0 (nginx/1.6.2)
4 V* y9 y/ r5 F$ G' Snginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
* \- J* L% \6 r& u5 U
+ u* d% j. q4 Y& y- T- U2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
- A0 R$ g0 u/ m  y  p- ], U2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
8 r3 D! J' `/ y7 ]1 l. h1 [2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
; n. ]5 c, h; Z  g2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
+ P5 S: V: q. `5 G# n2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

$ q# N, v; G* S( U! zyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
: A0 m" E1 [' ]( G' Y
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
+ v5 d# Q- k9 ]% b3 N编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

' U6 K8 j( L3 p* DSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
; }" L- |" |  [+ s6 t3 p! aSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614