nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
$ W, e8 E) e% D% y
一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
9 t& B0 J. q) Z" X2 }& S
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
8 M2 t9 V; n  X1 ^0 Q; E( M- t9 ~/ d
. ]& s2 o1 r5 h& J; Nmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

2 ], r  D  Y& b0 X! `yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

! h% L  ^9 b3 g6 H$ V# ]- T" byum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
7 C) P8 t2 O/ b, @: C% V6 z" E二.启用standalone模块并编译

' u3 X  _& Q0 A  l下载modsecurity for nginx 解压，进入解压后目录执行：
4 [3 x$ V% G# n) e
3 k& v) T0 y5 i& {1 G: a./autogen.sh
" W( k8 x& W# A/ m/ F  Q./configure --enable-standalone-module --disable-mlogc
- Q! {( v9 H$ l7 J: G6 ~2 I2 C1 \: emake
三.nginx添加modsecurity模块
& N. J- P( ~5 v9 Q* X5 E! w0 L
! k: |" s* w. [' x! _在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

# X' n) p% N- ^6 Emodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
9 H" Z/ q4 N* H7 @* W! g
# U% R& K4 L( z9 T" \1 j7 p1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
! w- n) N* M" Z( x3 l$ L+ M" u8 x8 R$ o
: m: y+ i. ?' R  Qmv owasp-modsecurity-crs /opt/tengine/conf/
+ J5 U6 i3 B/ Y. Q+ `
$ \* }  c9 [9 x7 icd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
6 t! W( Q. ]0 ~5 [; C' K% f2.启用OWASP规则：
6 z$ N8 s" Z8 D9 v( J* Q
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
' @: ]( H) |2 Q# G! c
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

! F6 Z4 T+ [) _owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
1 S' V/ a! M1 m5 h7 [- B- J
- H  s# E0 ~* z; {' D# jInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
# X, d% K+ I3 sInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
+ |9 M: Y; d3 Z) d7 {' p" z3 WInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
# x. P# a( ^' l- a3 t. g5 Q" }6 r- eInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
7 m" ], X8 I! q5 qInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
6 d0 c: s- i) J五.配置nginx
, d+ C6 q0 ?1 j$ k* k1 v2 V
在需要启用modsecurity的主机的location下面加入下面两行即可：
: @- E0 m- \7 v# x1 {
& V7 L/ N: L. `. d( oModSecurityEnabled on;  
2 \- N( v! I1 y, r$ g, g+ KModSecurityConfig modsecurity.conf;
( B$ b* S7 r, d" c  }1 z5 [下面是两个示例配置，php虚拟主机：

server {
- w. I3 P7 a  _4 B+ m4 c      listen      80;
      server_name 52os.net www.52os.net;
     
$ E+ E7 {( h5 J$ v6 y# S      location ~ \.php$ {
! V9 D3 l! \0 i; X      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
      index index.php index.html index.htm;
& @! {9 H0 j0 P/ j1 t2 U  l0 D6 \  
      fastcgi_pass   127.0.0.1:9000;
/ Y6 L+ F" S8 F3 @; y/ Y      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
# y! k. m6 a' B! B3 S# j; G      include        fastcgi_params;
      }
6 \: w8 B$ a! N$ ?# V( E4 f  }
$ z# \9 E5 g  G8 z" F5 B/ l. D* y+ {upstream负载均衡：

, x* M+ J# c/ i% B. f/ G8 @0 i8 Uupstream 52os.net {
    server 192.168.1.100:8080;
7 B5 t1 V4 G: p0 ~    server 192.168.1.101:8080 backup;
: n& m; R7 A. a  L/ t}
; {2 c1 U0 b- c9 x/ f. o& X! Z! z
8 E. h& ]1 b+ D9 u8 wserver {
% s' I, u* W, slisten 80;
server_name 52os.net www.52os.net;
; t: r8 _1 K# K6 U, g- x
0 `! S1 T" V- }. `) K' g" i, Jlocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

0 @6 ?+ _! |6 M" q. @: H  z% v        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
" Z5 g) P- v( J& H6 C; u, Q8 Q        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
9 N; N- s  s9 a0 J    }
}
六.测试
" l0 q3 r; ~: E
( M) i8 ]6 t4 a: p7 \0 Q我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

  i9 p5 K% l) s) Q* }7 d4 }<?php
    phpinfo();   
?>
; W+ `4 o, I: U3 G/ p' Z5 f在浏览器中访问：
1 b5 ^( Z* u+ M1 R
http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, `# p% G& Z5 ~3 M4 Mhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

: R0 Y% A9 s" k- N七、安装过程中排错

( y) b% |" N0 W! Y" \1.缺少APXS会报错

) w! y/ v4 M$ ~" Pconfigure: looking for Apache module support via DSO through APXS
; z* E/ j: F! h% Wconfigure: error: couldn't find APXS
8 [& M) Y( V) F. bapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

& @* d& D0 c. Q0 x! Nyum install httpd-devel
2.没有pcre
& |  p9 Q& p8 O2 b
configure: *** pcre library not found.
configure: error: pcre library is required
  _+ j5 B" C# P* }7 v% w. Y. h解决方法：
. E' X! y0 N) c8 U4 H# h5 v
2 Q: v; G: U% dyum install pcre pcre-devel
3.没有libxml2

# q: f/ L) k  X. `
configure: *** xml library not found.
configure: error: libxml2 is required
# `6 T: K4 S% k2 W1 {$ t解决方法：
% e, i2 t& j: R. n8 y0 N' L# Y
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
: y2 Z3 ^+ K( L8 }
) M5 }8 J+ W& Y9 l9 u9 A8 JTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
( ~0 l( @; j! p% r# ^1 g. B% _1 `2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
' G6 J) T. ^! R: ]2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
* J8 S  e' x* O& F解决方法，移除低版本的APR (1.3.9)

yum remove apr
; Q" _1 M2 q" R$ V! {5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
8 u: I& z  s( ~, f0 `global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
0 l# i2 f# {/ v2 D解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

. D- M( v4 Q- Q) g  ^: ^SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
" M) g8 [) ]( J$ OSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614