nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
6 O" [/ k% E4 d& X
5 a. S; a$ K8 c" [tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

) f+ i" J0 ^) A6 O0 ^modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

) K. g1 W1 |& }/ N依赖关系：
0 E7 f$ F+ ]- W0 E3 ktengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
$ y) \" {$ r- Q1 m0 R! d( V0 Z
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

) ?6 o+ F. a; B& J% k( J3 A% x+ N下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
+ R6 F2 A1 ]1 }- Z& [/ imake
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
) _. C( d. c# h; [( G( ^5 |* l$ n! z
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
) v( Z2 z6 q0 ^, a) ymake && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
- X1 T* {3 W1 ~, o+ V
1.下载OWASP规则：

4 A, b8 T7 D9 H1 O! {9 O2 ]git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
- e( {& `- T  q/ y# W  B8 p
mv owasp-modsecurity-crs /opt/tengine/conf/

8 H  B: n$ n+ ~# ycd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
. t* k' {* E* B2 V* L$ Z, P4 T( O/ w2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
0 j* R* C9 ]3 _7 i- w" C
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
. o# d6 M8 A+ Q* ]% t: v4 {
5 Q7 X# G4 t+ `) B9 Iowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

7 F0 g& U9 H8 U; V3 u# i6 DInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
9 V' _/ W! r5 e& w. k/ U3 bInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
5 n3 l* t, K! ]& y, N$ |* p: s$ nInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
( \  ]; e4 O8 Q2 |7 i  @# S' i1 e$ {Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
8 Y; D: J9 P+ S  cInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
1 R. m5 W- [6 c$ S7 t3 r% r* k: K, PInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
+ ~7 ~8 @% u: t6 P1 T
' ~$ k2 K1 U" w4 a在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
! o6 J' d9 V7 r2 ?6 X2 @      listen      80;
      server_name 52os.net www.52os.net;
     
) s' |4 m  S; f+ K      location ~ \.php$ {
- `) y" _: B7 Q0 D! p      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
( ~! r8 J* V" y4 K: y      index index.php index.html index.htm;
  
# ^2 g7 H# A5 b; M1 r* U  b      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
! E4 c( ~; r# L; s      include        fastcgi_params;
      }
( F. Z/ i+ r# u7 H( T3 r  }
upstream负载均衡：

: B! b( g/ b- ~* u5 Z) {+ nupstream 52os.net {
# a  j' Q3 V7 Z# d' |    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

1 _/ ?2 M: J: d/ L; O8 ?, @server {
listen 80;
' y" o) o8 l/ iserver_name 52os.net www.52os.net;

# ~( K: P7 H$ U) h3 W9 n1 [location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
, j7 c. W3 V% |5 B7 F
        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
2 q  ~, v2 X) a) r- Q9 Z, r        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
1 B. P, k; T% W8 g" E2 R, \}
4 L( r" U$ T7 d- ]8 X) Y- q六.测试

1 g) y* K% A/ F  U+ ^$ j. E我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

  }, n, m: z, w" P' l- H. o2 j! w<?php
; L7 v' O7 {9 N$ f% ~, |7 [; r6 T( ~    phpinfo();   
1 q( E2 x! \: z, Z7 I- Y2 h# k?>
在浏览器中访问：
% b/ T/ ~$ z- }( q+ ^
+ a0 T& t  u% L% _: }9 Ehttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
- ]# v  U. m2 \! a( ^5 z, l说明sql注入和xss已经被过滤了
" h8 l5 @% T" |3 w& C, S
( e! q2 S6 N8 `8 r& H2 o* }七、安装过程中排错
; z- D. S' Y" Y- _' f: W  d* h
4 G& i+ }! T) ?+ b) g1.缺少APXS会报错
& P+ ~$ }( q) i: R
configure: looking for Apache module support via DSO through APXS
& x$ F% A' J8 \* \& B; @. Kconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre
& L7 c/ O- z! \4 P
$ \' Y3 a" m! J% v  A0 J$ s, lconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
3.没有libxml2

5 {0 Q" A1 b( S+ L; |
configure: *** xml library not found.
; n& d/ B5 {7 t0 I9 Yconfigure: error: libxml2 is required
9 T7 B$ X0 m9 e6 D解决方法：

' F; b+ i+ _6 k' G% M% T9 n4 Jyum install  libxml2 libxml2-devel
2 h) e8 P8 i1 r" }$ C* V3 Q8 f) O" u; S4.执行 /opt/tengine/sbin/nginx -m 时有警告
2 @) p# h. N% N
. S5 |+ \& w& {6 @; [Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
' t! ?$ j2 n# r% x: e原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
- h8 h, L; M+ ~. [& L# y3 M9 `5 c2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
" a) n6 ?6 h% W1 [# ?# `4 \. x2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
; `1 m4 e7 h4 T. ~& {8 F2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
" i5 z4 K& Y! H# `9 [: z4 B2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
3 x" {3 G' c0 M  S1 @2 l( ^解决方法，移除低版本的APR (1.3.9)
: V  t; V. j8 Z7 @5 w- d5 j
yum remove apr
( n/ f, j+ P% V) E& T& u5.Error.log中有: Audit log: Failed to lock global mutex

, G4 [% R: R2 r0 ]9 m2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
6 C. [- A2 U$ lglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
" G1 D0 b3 i: W% r$ y解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
  o0 n' K3 i& `) ]* O* u
SecAuditLogDirMode 0777
% J0 W2 a; z' E- SSecAuditLogFileMode 0550
2 d: N- h. _) K# g1 w5 n2 V  ?SecAuditLogStorageDir /var/log/modsecurity
1 u# g; A1 ~9 N+ i0 ^SecAuditLogType Concurrent
, v: c3 y! j+ d1 G+ G参考文章：
8 C! W$ J/ D: d; V6 W% O1 Phttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614