nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

/ O) G1 ~9 A& [) e系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

' `( q5 Z# w" c* ptengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
+ l  T$ Q. y8 Y. ]4 D& S
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
% J% L% Q- {4 K/ J. e6 u. k
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
& C! R3 j" M, _
+ |; S/ n4 z) ~+ j! b1 p/ \" tyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
4 w. b' S. @2 q9 r$ o) U1 Z/ l6 e
$ ?, K. n6 F+ c下载modsecurity for nginx 解压，进入解压后目录执行：
8 p; Q' g% Z* f# S1 Q* o
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块

4 C) w' J  q& K1 K1 W在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
, d/ \8 X4 r* y  F) Z( C: |7 t
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
1 W# q& x; j0 I四.添加规则
1 h) s4 p* l, p4 D7 \1 ^( ^
; M$ C6 Q# V  Kmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
4 z1 E& w# c& y+ M9 T0 l" y
1.下载OWASP规则：

7 C: Z/ |2 z" I2 t) P- M7 d. |/ i3 j; S0 T  _git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
7 p9 l& H# i/ T* P$ x* l
mv owasp-modsecurity-crs /opt/tengine/conf/
5 ]* {( \4 [3 y- p% h8 t1 O
/ Z- O: _; b1 F# G, zcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
  q$ U& S* N9 W/ @: v9 E$ z2.启用OWASP规则：
; W% t& ]) l( V0 S( f/ z
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

: o% E4 D; Z. O3 P: c( ?7 Nowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
# |2 m8 H- h. R: O) L
6 L( O4 E! F" Y$ v. XInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
; e$ d$ ^4 p0 _3 z, V* a; ^Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
: g" l7 Y7 I) I6 i; c# IInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
2 y! A) z, W( s2 p& L( sInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
0 s2 m& U, M1 c8 ~7 ^; q' B五.配置nginx
) M, ?5 C& _7 e3 h9 S  u
在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
4 Z* O7 O% l* ^% ~下面是两个示例配置，php虚拟主机：

server {
7 s, Q; O; l* r* T2 y( @, r      listen      80;
      server_name 52os.net www.52os.net;
( e+ |( F- y" }  V1 m     
- o, c6 t. b1 C0 ^& x      location ~ \.php$ {
8 N8 e0 ^) x  B# f% ?- E      ModSecurityEnabled on;  
9 K. m  J/ c# _, g      ModSecurityConfig modsecurity.conf;
( R  f+ Y7 a, t! z0 |
      root /web/wordpress;
1 @2 v5 [9 h/ ]9 H$ F1 v2 W- ~, m+ V      index index.php index.html index.htm;
% O/ F8 W: d6 @  
      fastcgi_pass   127.0.0.1:9000;
# I& Z( K! h, e& }( E      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
/ ~* ~6 ^( u- L7 }7 {      include        fastcgi_params;
      }
  }
/ ~/ k; E7 Q, k9 [upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
# ?& H7 h# v# V% `4 N2 K# B    server 192.168.1.101:8080 backup;
}

server {
listen 80;
server_name 52os.net www.52os.net;
+ M" T) `5 m& f$ g/ U& U  ]- E
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
3 X8 ^( ?+ C& p" M# ~1 u: [        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
5 W% _2 Q# W  U% G    }
}
' z" @0 e, F( d2 O' y3 r2 z六.测试
$ g! T- \7 Z4 ?% Q# |- F
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

' O8 p: D# @2 l<?php
    phpinfo();   
?>
. {' b# M' l" G& g+ y在浏览器中访问：
: X- u: U9 F/ s/ S* |* D, O
http://www.52os.net/phpinfo.php?id=1 正常显示。
; _, U2 m- w$ N) ~http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
. ]2 v2 G$ o1 u  Z  ]http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

/ D( l3 I* U  h( `! h6 {七、安装过程中排错

1.缺少APXS会报错
* }( I, T* ^3 I. Q9 @- r) {
# T# {( \2 W5 F/ j/ f& Z  Jconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
0 }+ S; T9 N( S3 z4 D8 w1 e7 zapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre

  y3 ?* O! E; s' {0 A3 aconfigure: *** pcre library not found.
; ]- O- _& H- ?) e6 G0 B9 mconfigure: error: pcre library is required
$ ]; B4 H0 |% U5 J解决方法：

: m9 S3 W; q# q9 p1 g  [: b0 s* Yyum install pcre pcre-devel
3.没有libxml2
" M. \& D! S. X8 b" o7 Y
9 Z1 f9 v6 g7 k& H1 K% T8 z
% M4 q  y# a( I1 x% d0 J+ c! t; oconfigure: *** xml library not found.
. h( d3 i7 P# M" G4 Qconfigure: error: libxml2 is required
1 @: S$ [2 j4 x4 [" U# e解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
9 \7 N  E7 X# G- u" G# ]9 D" e* A
6 U5 S- E2 }2 dTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
" X  e  N3 m; Y. u& g7 b原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
/ U3 ?, X$ a$ ^! f
: v' A& L. N# |# S2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
5 u: J, R$ r/ k& _0 G7 L  b2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
+ V5 ]1 K& Y# v! ^( [& n, U( s解决方法，移除低版本的APR (1.3.9)
/ _( M  S# H7 G& _; x
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

2 h4 `7 Z, s  o: G. \/ ~) `- B2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
& j3 @7 J2 I& G; o, [& Z; [编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
) w# f& h  J# B; _1 u! |
% n5 m: G: y- Q; H- ISecAuditLogDirMode 0777
SecAuditLogFileMode 0550
& a( \! T& G4 K6 NSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
) u7 Z( E4 K1 c参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
8 f+ {7 B; @# Chttp://drops.wooyun.org/tips/2614