nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
* x  e, w6 f& `. F2 Y" n
一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

1 s/ `( B4 m; Btengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
7 P) i+ P% i6 q* l  |0 m' {
: z5 j) A6 @& k& V1 }) |6 C7 AOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
4 V0 A6 A  {9 ]8 w3 D5 [  O
1 ]) ^  |- X! Z' d依赖关系：
( R* Z3 v: }+ s3 Atengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
* q& v0 ]9 }- A
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
. `; T5 z6 p7 ]+ s% f9 E, w8 c+ J1 @modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
# r$ [& [' L8 K+ P二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
5 b# L* \$ s, l) `/ F9 xmake
三.nginx添加modsecurity模块
, b# b3 ]4 ^7 C3 H1 u" j+ z
$ |( E3 h# Z. f$ [- N在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
$ v4 x8 }! a/ {0 k( v% |/ U2 T
) o5 d1 s$ T/ `3 y- N+ N5 W" ?./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
" l6 k; q, x9 K& w% y& B四.添加规则
' s  v/ x- J, F2 C* \# ?1 o/ S
: ]) J! y- Z0 s8 L$ X3 omodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

) R  G+ a) `; I4 ]) x1.下载OWASP规则：
  |$ i% F* t8 n) e0 V) x
7 P! b8 y4 t( y) }* p! ~! [git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
1 R. a' Q8 Q+ d" m2.启用OWASP规则：
: Z& ^- z# _. I/ x1 \: L0 D
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

/ K$ C# ?. o2 j) ^, k' W( ]编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

1 R& N. ^8 ]  f) L4 @' y- ~5 K9 qowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
5 i4 U; i/ o1 S' I# H  X
在需要启用modsecurity的主机的location下面加入下面两行即可：
' {+ m( j$ l- Q1 p5 N% B/ d
ModSecurityEnabled on;  
& M4 M- }, m  Z" e: \: @  z) RModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
/ s& p' b& x$ t8 A+ x      listen      80;
1 O) F- P9 c( K      server_name 52os.net www.52os.net;
* |: m7 ]) s1 s0 `2 e/ z9 o     
      location ~ \.php$ {
* w) {4 Y# Q. R% a7 }6 |& g1 T      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
; o* l& x8 |3 ?! E& y( e
5 D) Y3 Y; L' i3 L8 r! X' c      root /web/wordpress;
) s2 _& f+ k' Y; ^5 X4 m      index index.php index.html index.htm;
' A/ c" O, y9 U3 B5 l4 ^5 l  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
- U  k7 v( C  z5 I( n$ X  r+ d      }
  }
5 T9 v) x+ A6 T4 u* w- y+ Oupstream负载均衡：

upstream 52os.net {
9 z3 O9 y- M* f+ M5 L    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
/ N1 d3 X, m4 r! }: O}
1 q  E3 \4 f+ n
5 @" o2 c- }+ ~% U4 c2 f9 `: Bserver {
# e3 t) S6 d; X" W+ ]6 Vlisten 80;
% D, x: [( x  g$ y9 E6 m0 Eserver_name 52os.net www.52os.net;

location / {
0 t, A/ I6 F& P1 n    ModSecurityEnabled on;  
( u6 z7 o* d3 s: x! v4 Q% M' j    ModSecurityConfig modsecurity.conf;  
: }& k+ E" W* r0 I$ l1 |9 c3 g
        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
/ H! N0 B) {4 v2 k* K' S! P        proxy_set_header X-Real-IP $remote_addr;
' n. ~1 V3 a+ \3 i/ L        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
$ r  Z% Y3 b' ~0 E& A5 {% v}
六.测试
1 b' C4 ]4 h+ R# |# N# c7 t
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

+ v+ B0 c% c( {6 a7 n# j<?php
1 Z, ^/ j+ f, l5 N    phpinfo();   
?>
' i6 E- ~  v4 Y+ m8 P在浏览器中访问：
& F6 D4 I8 F$ W. {) r  [
http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
$ i9 ]7 ~, ?; r/ B6 \6 g
七、安装过程中排错
# I, X, X& G. t% u7 Z4 b
" R9 @; p$ c2 P) n+ X, D" m6 G& s1.缺少APXS会报错
; n; n* g- R$ V* g8 L! L8 B
configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
; o- ^" |) P# q2 S7 O5 z解决方法：
/ O( e* p0 x, f( ]+ D
! U, `- S: S9 ^, c! Jyum install httpd-devel
2.没有pcre
5 G; U. C  m$ F* g
configure: *** pcre library not found.
configure: error: pcre library is required
% b! s6 |  t) N& {3 C' a2 d7 j5 A解决方法：

& H6 H6 J8 G, u; {6 _, Uyum install pcre pcre-devel
3.没有libxml2

! ?: s4 S  c5 V: U! U
configure: *** xml library not found.
$ d% D( c% r) ~configure: error: libxml2 is required
; L; I0 R: i9 T' j7 s! B解决方法：

0 J: J9 Z' p3 G& }' wyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

# N: b0 B! j. Z  B  R+ ^% w5 |Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
) _2 u1 b0 f0 c3 B9 i9 A( w4 W原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
6 n* G" e, _0 Z, s+ I) o5 W2 z- {2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2 m7 u+ }( V3 p9 E# y9 f: U2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
& n7 M5 Q2 A: [; |0 y* w. d2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
( V! \( f  X* S/ v$ R1 O5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

3 Y0 C% n; X1 v- s# y9 s( _9 `: qSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
% u$ L' h# \$ f- b) ~https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614