nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

# o. i% x' P$ W一.准备工作

! [$ I2 T# {$ y* v4 w1 O: [- t系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
* i; k' r- h: A$ U/ n' q
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
2 b7 v3 E6 `% k# U- k
2 r7 O$ P  v6 l9 y* l4 H2 `modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
5 n  Q, F& K, K9 k2 r( z/ l+ d
0 ~* I6 K% a6 m: g/ x6 HOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
5 x( q0 x+ \  H# A0 X$ P
& Q7 L* F% o4 R7 O依赖关系：
' @" X  F* L7 g6 S% Ttengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
6 }+ a. P9 N4 e9 v2 a, l7 P$ _+ P
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
; H' K- v. u& z( X5 Q
8 ?, k; z$ _' Z8 E下载modsecurity for nginx 解压，进入解压后目录执行：
9 z' z* e& t: v% Y
. m2 S4 p; C0 v: g* Q! K/ S3 w' h./autogen.sh
./configure --enable-standalone-module --disable-mlogc
# m: u1 ^" s! ~( Imake
三.nginx添加modsecurity模块
* O& M6 f' Z, ^# _
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
( H5 `; f% @6 w+ g- ~/ M7 j4 K
' E1 D9 C0 D7 x  `9 `2 c./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
; ^1 H+ C% Z( U, M+ omake && make install
( y- \  p' L0 l7 p: {, D四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
/ _/ Q/ m& [6 n2 Q7 e# a2 F
; @/ c5 U- E- D3 v7 T1.下载OWASP规则：

5 M. ?& o2 U1 m/ j- igit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

2 H, Y5 t; Q4 t( {) R6 k7 T& M. D" F" Vcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

: z1 [: E( i+ ~! h- R+ a3 F- J$ R复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
- n+ M& j# u) n2 O) A+ J+ x9 r
/ B: }% q9 c7 @4 \& p& C8 o+ M编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
% C6 i6 j9 g9 F3 e: `! F  H  W
  [: M) f7 R2 A7 q6 B/ O6 howasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
' d& `8 M* E! e/ _$ y4 Z
5 K! ]1 c9 N! A( xInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
$ o( z* k7 n9 m. U) z& a+ W4 hInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
7 x- [6 t' S: QInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
$ b0 u, u. s0 H; i
. b6 U9 d0 }4 O' ~& y  c在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
" V- z7 B3 {9 a+ O
( j. U. r' z: H! Z+ s- ~3 J+ m" P! e9 Cserver {
1 {( Y1 \5 y: P7 x' h4 @, m: S      listen      80;
8 H& Z/ q5 z: o6 F) ~      server_name 52os.net www.52os.net;
1 M2 k+ T8 U6 Q1 K& T5 w' L3 c5 c- m6 p     
- ]0 T7 B, N5 r& s' r      location ~ \.php$ {
      ModSecurityEnabled on;  
. s; z# O. ]7 b# U5 @, |4 U      ModSecurityConfig modsecurity.conf;

- g4 q% A- d: P$ }* Q      root /web/wordpress;
* J9 U5 R9 |/ }% ~      index index.php index.html index.htm;
4 h4 b" L% F3 Z4 J- [  
! a: M% a" g0 S8 {: a) R      fastcgi_pass   127.0.0.1:9000;
3 r$ ~$ l1 X6 G+ A' W( A      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
  {6 L, v0 F5 Q" [3 l6 a      }
3 V7 W* s/ g" n2 c  i3 U( J  }
upstream负载均衡：

6 x1 u- D; ^/ [# Eupstream 52os.net {
7 }4 Z& B) @1 l9 Q+ J. l" Q    server 192.168.1.100:8080;
; t. |- a' _0 l1 V    server 192.168.1.101:8080 backup;
}

server {
3 \$ c; N* O% N& R1 I! i1 |, Glisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
; i; O5 y' S+ i: s* {
        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
: A3 S1 B/ M3 _$ [$ X        proxy_set_header X-Real-IP $remote_addr;
( u+ E0 n1 }. [$ {* |        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
4 e2 Z4 R8 g9 |8 o$ M* L六.测试

; R  D$ w, S5 W& P* G$ d& h我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
5 u1 H9 ?7 K0 H/ W% E: _    phpinfo();   
9 l4 m. T" w( h- M& f% k0 n  X, F?>
, a& ~! c& s8 C在浏览器中访问：
1 s, M: R! A% b! _
% M! p2 G" i7 {# [: H4 |http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
0 ^$ k+ d. ]8 e( A; Ohttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
) B* p' Z9 Z. T' M1 y0 `# E* B说明sql注入和xss已经被过滤了
. ?9 n0 f0 \5 t8 `* P' [) [
6 J5 t8 Y- H5 w" O8 L$ {8 c七、安装过程中排错

6 m/ j: K  ?+ S3 C* q) a& k7 _1.缺少APXS会报错
8 \" v  g" L8 F/ v8 R( U) l
configure: looking for Apache module support via DSO through APXS
9 r2 V& W( G3 N/ l+ Tconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
0 x3 M, ?0 r; U% p9 k
yum install httpd-devel
2.没有pcre
7 V: P6 V& m8 J, N+ k
6 P/ a; `$ y% `$ M- U) dconfigure: *** pcre library not found.
configure: error: pcre library is required
& w9 u% ?9 K% ~" s3 Z& L& H0 L解决方法：

yum install pcre pcre-devel
6 |+ a; [4 L' A' o7 K3.没有libxml2

3 w, [0 S  b# |, {2 I
configure: *** xml library not found.
configure: error: libxml2 is required
" ~) ?, S% m1 z2 i8 [6 {) q! U* e) h解决方法：

, [, X: C7 s0 H4 U& U: \6 Xyum install  libxml2 libxml2-devel
% g  p4 H* ^2 i4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
# B' T9 }( ^' A  s- t' G0 onginx: [warn] ModSecurity: Loaded APR do not match with compiled!
* z' x. O6 x5 @  w* d原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
. K% U6 X0 R; H+ A
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
; K( H6 S1 d+ E; {- b$ z! ~2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
0 M9 O9 b  w1 }# R4 p4 ~- G) i: Q2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
9 C) ^% A3 S* K解决方法，移除低版本的APR (1.3.9)
4 X! o( O. Z0 t
' \: _# [7 r% I( Y9 Ryum remove apr
, q8 |  Z) k5 d" n5.Error.log中有: Audit log: Failed to lock global mutex
1 X2 X; L, Y& X1 l! D) b( c
- H* g7 Y8 `8 h% e" F2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
( {9 x+ ]/ q* M0 r4 ^' H编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

2 C& T& f2 B4 V9 zSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
' c% l# h; U) f6 [$ c7 qSecAuditLogStorageDir /var/log/modsecurity
" \. \- g# r+ i3 VSecAuditLogType Concurrent
  x' z5 G+ T/ _3 _参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
2 H; a( k0 x: ~; \( ~; o+ xhttp://drops.wooyun.org/tips/2614