nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
2 ]$ o+ U  p( g( C, G9 o( {6 q" }
一.准备工作
1 O5 i; \* \! R+ n+ t$ w. v
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

" w/ r. p$ C: I) f  F* d# V2 ]tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

! Y6 b% S# o# g0 v0 X' D3 T8 lmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

0 X9 N, v% {% @OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

( ]6 j7 E, m0 |6 M! G5 x* b: U& N/ _依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
7 d- T7 d3 t! l7 B9 M二.启用standalone模块并编译
" j0 w5 M( Z2 @
下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
( W0 x" Y- [, H% U( B2 B% bmake
6 H& l3 Y$ ]6 t9 [  i* X三.nginx添加modsecurity模块

( d. N7 B5 b* u" V- V( t& x, i在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
8 I( h3 s7 \( _
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
2 E0 e$ @: H9 B+ ?+ _四.添加规则
4 T! D1 n& I6 P8 t9 o3 X) d
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

5 w2 N' r, M2 C. k. O1 h1.下载OWASP规则：
1 X# |2 i- ^) @. A
: R( l, `6 V0 ?, b# fgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

. a/ j; k/ h+ \) [7 p4 mmv owasp-modsecurity-crs /opt/tengine/conf/

+ n* Y7 b; g# r6 Y4 Pcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
% Y; h- _$ c: y# E" }
; e4 k5 [6 n( L7 A# ^+ ~& J" w% D1 I编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
* h. ~  B: y! ?6 ]Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
6 O' w+ l8 ~1 I8 MInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
5 g& ~) \/ O2 s+ N2 k+ l. H$ `Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
! f  y: p4 ~- p2 C2 A% }% ^Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
3 i. W/ \1 S& x$ g, Q: fInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

3 p' a. O9 q8 T" ~7 U; I, r在需要启用modsecurity的主机的location下面加入下面两行即可：
. i4 W' h$ c# r7 x7 g+ T6 Z
/ Y# [9 p" D  T. Y) A. U% T% s3 kModSecurityEnabled on;  
7 |5 O9 L) ?9 V4 @! s+ }ModSecurityConfig modsecurity.conf;
" ?- H( R* y% A6 ]( z下面是两个示例配置，php虚拟主机：

server {
. M8 ^- x  ], E9 f) h      listen      80;
3 z3 X# v; V% S  I' C      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
; \6 D/ h2 o2 f7 w- T      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
# {. R/ W/ r, @' O! l      fastcgi_index  index.php;
" g6 l9 Z2 i4 B8 F! [. K      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
+ A* ^, f' Q( m; N6 F      include        fastcgi_params;
7 [3 i- v9 S; `4 z1 `8 L      }
  }
upstream负载均衡：
% I+ \9 v1 g) z2 |) C. t
6 K5 v; }/ H6 }( V& \upstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
7 A: p) h1 K& T' P+ p* y
: }  F5 E, R. ~* D7 ^7 J+ y' |server {
listen 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

4 Q3 {: f8 U! Q        proxy_pass http://online;
        proxy_redirect         off;
# \7 k  b9 G# w1 l        proxy_set_header Host $host;
, F& ]2 f; _8 r& f        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
0 z. v% N) _! d8 g7 N1 o}
9 G+ O! U' Y( R8 a- F# O六.测试

4 A5 x' N& [5 W  P我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
; O1 i0 E. V2 a6 a' G! v# i?>
! z( e3 A, y% h2 m8 C* L4 q) ?& f在浏览器中访问：
: A8 u7 m- d6 P
' i) ^9 ^! X: R: e( }: [http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
0 m1 }2 q" D4 {. M2 @( d/ f: hhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
6 Y7 \9 ~/ |/ {/ T) E9 S说明sql注入和xss已经被过滤了
' _) l/ P+ {5 H" c
七、安装过程中排错
* m1 ^2 o, @/ r; p4 \# N4 }8 \" ^
1.缺少APXS会报错

3 a. e3 o5 I! |, Econfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

& U- |" \* W* _: e8 F6 W4 [: z9 Oyum install httpd-devel
3 T& ^% U& g  w; I8 r2 p2.没有pcre
! B7 L% V9 \. x3 e
: S" C' ?8 ^2 s; q( H5 P: `( h, Nconfigure: *** pcre library not found.
6 g, `' w* E2 J. |5 @+ D/ @configure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
8 T7 u$ Q& I( S) t" T) C/ a解决方法：
; {5 b( }( p" e! B" |# U
8 S, ^1 g* K8 L8 P" [3 @yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
4 g7 M9 c- [- O5 F+ W0 }2 T
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
* g' J6 r+ g$ y0 E# p$ Q0 Jnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
6 b1 F2 s) V& Z1 ?, y/ e
5 P3 t; d+ T1 U8 L2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
: R* M% |: ~5 t! c: X5 y2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
; m! F3 N% Y: K6 p2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
3 H. t# y4 b# ?% [( }2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

: \9 b' C/ L' Z0 j6 syum remove apr
4 R' t8 A9 s( m7 {  _+ \& F5.Error.log中有: Audit log: Failed to lock global mutex

: {7 {3 f2 x6 g" ~8 _2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
' a) r3 n0 G' @+ A- Tglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
, `( \  o' Y( w' [1 z8 ]8 }1 W解决方法：
9 d7 o3 g. b2 G3 w编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
* V9 X. c- s. C2 {9 X
6 U' k% ^; I. E* w* SSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
2 y6 c) p+ {! e4 U3 |0 A. y, SSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
1 M: X% e) J. h1 `" J  }, O- W9 g参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614