nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

, q, i4 t5 z  G. _: ~tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
, N7 I4 m; X- L$ Z+ J, y
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
# D; @/ c& o8 N$ ^' B  [% f! T$ o* H
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

: S5 q7 E! Q; x3 X) k" L& Y依赖关系：
* [$ V9 a) {0 I7 f* Ptengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
* w5 f9 x; x( i8 y0 M+ b
; M& ^7 `7 ~  J; uyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
1 Y8 Z0 A1 Z% `' Smodsecurty依赖的包：pcre httpd-devel libxml2 apr
% ~  w8 ~* n  Y* @
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
" O( p' b% q$ B0 k) n二.启用standalone模块并编译

. a6 Q6 l* W3 z下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
# X; `8 E; ]7 ?% a( U# Xmake
三.nginx添加modsecurity模块

& M6 G/ v$ O$ m7 N在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
4 M2 w" n  u# S$ c5 n1 p
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

% D/ r! h; k% J2 e# }' omodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
" u& b! k2 l( V4 f4 m: |. R
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
& @0 O: K. D2 I+ m# l/ D
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

  @) C2 {3 N: k/ ]5 T! Zowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
- X5 y: s: _8 cInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
' A3 A; Z7 l+ p1 C7 [Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
* _$ b6 V2 }: d5 p1 m0 }& k' m3 e( U+ [Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
# ], w  P( w% k  `+ ^! UInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
* |8 r( [1 @0 e) s8 A: ?; z下面是两个示例配置，php虚拟主机：

+ N  }' h5 i/ I8 v8 r/ z1 qserver {
" T, |" N6 y' k: K5 }. v      listen      80;
/ c1 ^" u1 |$ f) u      server_name 52os.net www.52os.net;
     
/ p# n+ _# F, ?0 S5 q0 [- c      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
% b5 j2 Z  g8 _/ W) n  @% p) K
$ S4 u3 ^8 D2 T9 _$ U1 _0 l; h      root /web/wordpress;
2 M  k9 S5 l7 x  f7 J1 o      index index.php index.html index.htm;
  
* _# x" t; d# _; R      fastcgi_pass   127.0.0.1:9000;
6 H3 q; @7 k) m( N. _6 u      fastcgi_index  index.php;
/ {* u( v  L6 y1 x( w      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
7 T+ ?" b. y/ H. y; n: o: o) j  }
& P% ?6 J% P; A; o- @& Cupstream负载均衡：
) W6 F9 \% r9 n% p& h
upstream 52os.net {
# v9 I, V; B7 `0 n( P& o    server 192.168.1.100:8080;
) j# B, W* r6 U6 r3 h4 u1 b4 ]% P    server 192.168.1.101:8080 backup;
}
7 K) _, y+ d: u) l/ ?; C
server {
listen 80;
server_name 52os.net www.52os.net;

. `1 {0 u- e6 e# `0 J  l$ u6 Zlocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
8 b( @7 }2 V) o* o
        proxy_pass http://online;
; e( H' j* ~& x6 I# y0 j* o        proxy_redirect         off;
        proxy_set_header Host $host;
: K4 Z5 Y8 Z6 M' W0 ^        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
% _4 @' p7 I; A. e4 k& E! T    }
}
- k. L/ q5 f( p( `3 p( g六.测试

! W& U/ W0 d: w- \& i7 ]我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
) T+ Q: B1 {0 ^' o# U$ {, g. U# m
+ N* q9 n  s) V' H) \: a<?php
    phpinfo();   
?>
" Q3 \. y& v4 Z- R在浏览器中访问：
; l( i; T  }) T" A: h+ Y3 z
( I# C) E; L8 W) E% L# c$ phttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, F) V- E6 O4 L2 K" z) @& w& ahttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
/ A9 M4 P- a0 J* D6 d5 w5 ]
, v; x" W- v4 s) P: Z七、安装过程中排错

/ Q4 _6 T$ O+ o. g) B1.缺少APXS会报错
, `; Y6 x+ I2 r. }
' f" h" `6 n; C  y$ U' t2 t+ P: Sconfigure: looking for Apache module support via DSO through APXS
9 ?+ }: l- I) Q7 ^( ^configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
- s3 x1 g* c: M7 d2 Z解决方法：
5 _, m7 g. `, p; a) |7 A# }, S
yum install httpd-devel
2 ^! h  B9 u, }: {8 w/ b( q; U2.没有pcre
' u5 J% M9 Y# h9 v* c) p+ A
& e" ]* r# I: Y6 \. d6 X4 H7 H/ _- pconfigure: *** pcre library not found.
configure: error: pcre library is required
" t) e5 A, |' i' C/ p解决方法：
& M# I" p: H) c2 N. `# S) I
yum install pcre pcre-devel
3.没有libxml2


+ I; T( c  b5 G3 Iconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
  `9 ]- ?, `8 l* K2 I8 w* T$ \
- D; p5 U. l* C& X1 N2 S7 lyum install  libxml2 libxml2-devel
, T- t* h- J, {/ L- E4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
' ~% Y( |" g+ H& J7 Mnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
+ O% k# H4 U3 p+ A& G3 I
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
8 s$ U- t! P) W: c; G/ O" @2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
  r' c2 c+ {. z# U+ p& E解决方法，移除低版本的APR (1.3.9)
5 m, Q) S* s6 p" l0 `# t
7 V5 P  v+ C+ u" W& [yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
2 ~: b' {- S" [+ l  J+ i. N; [# M* j
8 p6 }1 G; l+ i" m2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
9 |9 \" Q2 E2 j5 Y" o解决方法：
' ?4 u1 {7 ]6 E. S编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
4 C4 w; m& Z% I0 pSecAuditLogStorageDir /var/log/modsecurity
, [1 T0 e' o$ g4 h1 p: v! c9 qSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614