nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
0 f9 X* Y5 n, D9 Z% I! l9 ]8 K% R
  j' x, J+ V# Q1 q5 I' B一.准备工作
6 y  k! T4 W  g$ C7 Y
- _9 R5 S# B2 N+ Y% F3 s: T系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
7 Q7 N: s  p6 `# H
; Y9 d9 @# a+ zmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

& R3 I& k9 c7 l# S- Z+ dOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

6 n! K+ }% b+ p3 ~依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

* B5 ?2 A! `- a' l6 K# x( u, C' jyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
1 w1 z( d" K- ~: c
+ ]2 T4 T! W3 ?下载modsecurity for nginx 解压，进入解压后目录执行：
2 y5 z; [( M" i
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
  l6 i0 V& c/ o
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
, _+ X; o) }9 D, l
' ^) z$ P* q( {6 T6 Q, i./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
' i6 _$ S# X% U5 F
. j5 T: q3 d% ~. ~modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
9 l! h% _- c6 t* s. q
mv owasp-modsecurity-crs /opt/tengine/conf/
5 i' A2 f# E. |7 e- l# U8 c
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
: B$ L0 u/ k' i& t1 y2 W. k" k. H- Q2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
  _, I  v$ ^$ n% l" i, `
- E2 U" D& u2 d- M3 L编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
" }0 s( v1 O  o+ k2 D4 C( LInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
$ \0 Y- E8 w7 Z/ A* cInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
+ @3 L* K6 @* y3 zInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
" T6 O6 q& o. Z, |8 ]/ bInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
0 `1 N7 V4 k4 p  uInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
' }: z, p, O+ T9 t: \五.配置nginx

& K  r; T( g8 N- g6 X/ P, L在需要启用modsecurity的主机的location下面加入下面两行即可：
/ c) g! {3 c3 c& W8 Z
# f" R; p/ ^, M7 }) U% ^6 z: }( EModSecurityEnabled on;  
5 M9 ?. e/ X. v- K8 J9 T# FModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

( {/ c) Z8 `  Fserver {
      listen      80;
" ]8 i) x8 x7 M" @      server_name 52os.net www.52os.net;
8 q9 t  R$ _1 B- w8 U, M7 M/ ?     
      location ~ \.php$ {
, f; a% V) L2 q' L9 J4 S; G+ w9 s      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
% _) o4 s1 ~5 U
9 W1 e5 W* I, ?      root /web/wordpress;
      index index.php index.html index.htm;
  
4 u6 F! L+ x9 @2 Y; O      fastcgi_pass   127.0.0.1:9000;
+ T: ?$ U6 P, _- ?' b: C      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
8 X, S6 `+ w) Z: ~( i) M2 W! N      }
) J1 j- r$ H7 {. U  }
upstream负载均衡：
0 g5 L' V2 f% I" x, s. r$ W9 k
upstream 52os.net {
4 }- n  d/ K' K. F    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
. r- F9 i; B& L. N& Z; B& F; c
server {
listen 80;
server_name 52os.net www.52os.net;

location / {
5 f9 G  o, S. d2 y    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

* B+ m8 Y  Q+ }6 s        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
# i) I8 ]7 K* o/ R        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试

+ _6 E: c8 s$ R; D2 P* L8 T% H我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

+ n% a5 U* R1 v6 N5 w<?php
  L* `6 r* M% `; {* I  L    phpinfo();   
?>
7 i8 g% P9 H* S- I. I7 p/ Z' v在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
. y& O9 h: G6 H; h' C! G3 Ghttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
: a" E% v  {6 g: V+ W
七、安装过程中排错

1.缺少APXS会报错
" A2 W: M% X0 G8 A1 m
configure: looking for Apache module support via DSO through APXS
: K/ s# l3 o" b4 E% D) Jconfigure: error: couldn't find APXS
9 I; I2 P8 y$ }2 k: f) D5 O( s; bapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
- P1 x1 e9 q7 Z: v0 o5 _解决方法：
$ Q/ ^8 p3 [' g: s% Q7 O3 K
, d+ r, c6 F1 Y9 Dyum install httpd-devel
' `- L6 U4 G7 U0 _7 f& Q2.没有pcre

configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

9 t+ _: X7 `% D6 c  S9 N8 ~0 l( Vyum install pcre pcre-devel
3.没有libxml2
$ }+ W! U% B/ n9 k: \

( ?) C+ _3 M8 W0 p5 Aconfigure: *** xml library not found.
5 l, N3 B0 E7 h4 C% P3 V+ F& Nconfigure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
! e: w' L) x0 y7 i) l/ G7 }* ~4.执行 /opt/tengine/sbin/nginx -m 时有警告
. H6 N/ C5 Z' H1 G9 B: {7 I
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
' z/ p# G& v" ?$ R4 C2 F$ |( f原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
: ^: ~2 B* k+ D. R6 M  X
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
1 D4 Y6 m% w+ f8 F2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
8 ]  P  ^. S( p' R) g4 d5 O2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
9 x+ i2 O$ `* i" H2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
4 r0 C6 G) @; Q/ l' z解决方法，移除低版本的APR (1.3.9)

: e- \3 k# [+ o# V6 H, k1 zyum remove apr
0 Z( A9 Z/ O' e3 \- i2 I, `( R5.Error.log中有: Audit log: Failed to lock global mutex
0 V& [) X' o2 R+ F2 R( U- x7 @- m
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
( D( h1 G8 F+ \, f7 z; s( o解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
- j% I8 ]) `4 U1 D$ s+ ~0 W% N
SecAuditLogDirMode 0777
: ~/ C% x1 u  W. eSecAuditLogFileMode 0550
+ H1 G: g' I% u3 j: t5 VSecAuditLogStorageDir /var/log/modsecurity
/ `) F' c& u8 ?2 A7 H* Y+ R3 o9 _SecAuditLogType Concurrent
! `# v. H; A5 o4 f$ X参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
. m+ k3 n' e3 {, M" g% zhttp://drops.wooyun.org/tips/2614