nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
: i; G4 P5 q0 c, ~4 n# ]
# C/ {* [: N/ y: W0 {2 E/ W一.准备工作
) n  H+ s7 V' _9 y& e% t
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
! M+ p! O* y. j! k6 v  z
$ v$ \& E/ d$ i% u, O+ rtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
4 k0 M; m/ ~: y! B* k! E" T- x4 u
5 U* b* H- l  B3 D4 f- R. Dmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
4 O& t7 y# J3 r5 l
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
( J( T0 y# @1 s/ I% h0 c; M, z: Ntengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
( V. @  R2 v. r5 P. b$ d1 T; n. p
6 T  ]& h% k0 N+ G3 S% H& t5 {yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
% ~7 }1 m4 |- H$ l0 `2 b2 B/ q; d- Zmodsecurty依赖的包：pcre httpd-devel libxml2 apr

3 ~/ O9 ?' o1 [yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
( U; t3 P7 H: P; d8 l
下载modsecurity for nginx 解压，进入解压后目录执行：

* R0 X# L! k& Z./autogen.sh
./configure --enable-standalone-module --disable-mlogc
0 C, w$ H* q) O* o& N. Umake
1 M, R0 Z% }* D6 L( a' A/ p三.nginx添加modsecurity模块
( Y3 I) `" l, K; t" B+ i
( X( u, ~5 A3 I5 k  w0 `在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

3 a9 K4 m* M; \5 \./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
0 r8 l- |! p/ X2 X: J' Y* ~
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

" c! z2 D0 K  z) E. H" \. cgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
3 z' o5 {% Z. a' `4 N; x3 v
; X) T3 M7 g! s3 A0 ?1 k) l6 Xmv owasp-modsecurity-crs /opt/tengine/conf/

, O- P% Z/ f5 F- P( o1 w6 Icd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
) M5 f: y# U% ~: `9 Q4 P! O  \2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

6 d2 a8 H; s3 P2 c& y; W) b编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
. I. k; M. D1 A1 b, `- q9 b# aInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
' ?5 q# t' P; s  @% ]Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
8 n# S& X) }5 l% E" f五.配置nginx
3 @7 n0 I. ^8 M0 F
在需要启用modsecurity的主机的location下面加入下面两行即可：
. g+ v+ ]- k1 Q
  v7 d+ N  r3 V/ B. N6 dModSecurityEnabled on;  
# W; Q" }/ q- {5 @8 W; F& y. N+ aModSecurityConfig modsecurity.conf;
8 \5 _: r  h$ {% j' B* ^3 c下面是两个示例配置，php虚拟主机：

server {
7 L& V- u6 Z2 \$ B! O( M0 r      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

& i& l' \9 J; o% t0 S% ?      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
' @  \; e2 p& A' F6 K      fastcgi_index  index.php;
4 W' D3 m) n+ A      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
; u# `. F' z  ^% z& o      include        fastcgi_params;
      }
  }
) o4 b/ Y; |( P2 L" {* ^& }upstream负载均衡：

2 }% q; m5 p5 f* F9 V! ^1 tupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
5 |: S8 E) P& N* E* G' }# d2 n}

' v1 d7 K  @. g9 X3 {server {
3 D; s0 Y/ O2 G4 h3 ilisten 80;
server_name 52os.net www.52os.net;

# g4 ?4 r$ [1 u9 klocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

. y; M( T, C3 l3 h" e3 P* Q0 h        proxy_pass http://online;
2 V  F8 a. L9 _% L& V        proxy_redirect         off;
( a' u+ k) R6 j3 \- S/ e- Z) w! l        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
0 P! o5 m: I% M; Y- Y        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
. U2 o; r: C7 D: P$ K' Y7 K    }
}
六.测试

$ V/ ^2 P; E: \- l) [' A我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
& o( i6 [3 U) T
<?php
( R5 Z' V4 A3 j' p! j- O    phpinfo();   
?>
在浏览器中访问：

9 s+ h  _& W& [3 B0 P8 Xhttp://www.52os.net/phpinfo.php?id=1 正常显示。
4 K, E+ `+ x0 d' @+ lhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
4 b. X: z2 y5 E6 h, f2 D6 ]( K说明sql注入和xss已经被过滤了

, M, x! e- e4 P1 i2 i七、安装过程中排错

4 H/ Q0 ^5 O4 S1.缺少APXS会报错
# m4 V" J! K6 W) O( Y% O$ W1 _
; t9 E1 d, r$ U; T* Z9 iconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
: {' h: k9 B% l/ O
: P7 _" q3 }& ~3 K4 hyum install httpd-devel
1 O7 a( e: |8 N; |  ]& Q# q2.没有pcre

4 d# [% M1 j3 D+ b( p; s. n+ vconfigure: *** pcre library not found.
9 t3 q5 W$ C. e5 |- ^configure: error: pcre library is required
: ]' g& a  H0 D( {7 o  E. D$ p解决方法：

% c/ R/ A: P! g0 [) P! Lyum install pcre pcre-devel
) n1 _, o+ ]; ?$ b2 ]  N, ~6 ^$ K- S3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
' [9 I7 i$ z- ?; b) U4.执行 /opt/tengine/sbin/nginx -m 时有警告

& ^- o: g2 P3 [* Q3 x! F/ v. zTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
9 S: o) L) C0 B$ P原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
9 F2 ]; n/ R5 r. E
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
" f* d7 ?3 r* d8 ^3 N+ g7 K+ d2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
' d; \2 }# A: Z; D
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

; {) x2 o/ h5 `2 ~; l- R2 z$ G2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
& @/ b+ P* A3 s( @- n8 w编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
% O" `6 c% b, R' c# PSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
; {& i" S2 ~  N: a& ~; mSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
: f5 e1 P: Q; @5 h* W$ p- Shttp://drops.wooyun.org/tips/2614