nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
- H# o9 s" o0 }( }6 {  }
一.准备工作

) L' |1 t/ n6 f# T/ B0 B系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

' Z9 U* L- J3 E+ v, ttengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
2 `! q0 s, G7 ~- U) p% N7 T
! d* E. T' x! W- hmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
+ J3 x: {3 t8 j5 c. [- H+ v
7 }' p+ F; z( V1 ^( nOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
' e  C; U# l& a
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
" w6 a2 ]  x. G) O
9 v) a* ?( K' V+ A4 [yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

% {0 R4 K4 z0 o& yyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
, e% P1 A1 r6 x) Q! [8 L; |二.启用standalone模块并编译
' e( J* r) @% y: N& W% m
下载modsecurity for nginx 解压，进入解压后目录执行：

# {5 O% ?, |: j( L& v; U. m, H, g./autogen.sh
./configure --enable-standalone-module --disable-mlogc
. F5 t6 k) g+ s! P3 a; Hmake
+ \$ `2 C- x2 @7 b; Q3 [三.nginx添加modsecurity模块
- m1 r; f. b) N. e" M
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
) J% G; M( w* h6 ], O3 g/ [& H
9 v6 d. L$ I* e+ ]: Q./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
  Z$ g9 d' z( ~* [make && make install
' ^4 M# E/ A8 t3 o四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

0 J4 Y% _. Y8 `/ M$ [; l1.下载OWASP规则：
0 Q9 e9 ~5 X" |7 Y! w
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

0 H: I2 {9 W$ l+ n2 O% omv owasp-modsecurity-crs /opt/tengine/conf/
" s8 L% C* h' M
3 H* x0 d' n7 ~# ]$ ~* E  gcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
- b9 M7 A; L5 X- V1 W& e  w4 H; L- Q
7 J# v8 g% F1 Z0 w复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

: ?' [4 v/ m4 P7 {1 _编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
- F- V. ^+ ~& i6 }" ?
6 f6 [$ r. S+ D$ O7 i/ d  bInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
+ }) K! _' M, G+ j4 J& gInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
0 _7 S: T5 O' X# A& N0 fInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
2 J) c  e( i4 s1 N, Y+ ^
: c! g& W! Y0 V& J在需要启用modsecurity的主机的location下面加入下面两行即可：
3 S) r5 [+ F  i6 Z, Y
ModSecurityEnabled on;  
3 R6 F, E3 F" p$ gModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
. W5 O" F6 l5 w$ V% n
0 D! }) l3 T9 V3 M; jserver {
# M; U/ X  }/ b9 N4 f5 I      listen      80;
      server_name 52os.net www.52os.net;
, E7 E. i5 g! n' E4 p& L     
      location ~ \.php$ {
      ModSecurityEnabled on;  
) P; E( I6 ~' ^3 q% c% a# W* |  G      ModSecurityConfig modsecurity.conf;

2 t6 Y4 Y% l7 D( r: ?* x      root /web/wordpress;
2 m1 S0 z, j# _0 F4 S. o3 v! l      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
* [; j8 g3 {4 r% X2 B7 \      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
. M  t; T' k+ _: j- `    server 192.168.1.101:8080 backup;
1 S/ A7 G& W0 ?/ q}
0 X! Q# i* x% W* h' G/ q0 \, t
server {
5 n6 ~1 g. u; A( X( I3 clisten 80;
server_name 52os.net www.52os.net;
' ]* ~: \1 Z0 v4 N
location / {
7 s2 J' |% C7 B0 j    ModSecurityEnabled on;  
* H. [2 c$ V  T6 I7 T    ModSecurityConfig modsecurity.conf;  
. y* R  c3 r8 |2 K
        proxy_pass http://online;
. X5 A$ r; w5 l& i; U: L        proxy_redirect         off;
+ ?7 [1 ^  X4 T        proxy_set_header Host $host;
6 X. t' K& I0 _; q        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
" d2 Q1 _) |; v* S2 d    }
% C6 e% i- P" D( [}
六.测试
6 j  C: F! F1 l6 k- O+ J
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

8 o! [8 I! E( l; \<?php
1 s6 `0 }- y9 d    phpinfo();   
4 [; D. x0 ]9 w9 n4 U8 a?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
1 _" c' |8 \' |5 C& U  Y6 H# Fhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

+ P+ F/ H$ z1 s, F七、安装过程中排错
1 E1 d* R1 v' o
1.缺少APXS会报错

! |' t1 }' |' }9 ?6 ?# o/ t' Fconfigure: looking for Apache module support via DSO through APXS
' D3 D2 `/ [5 sconfigure: error: couldn't find APXS
* A$ m! N. S, _apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
* U% l; r+ w2 `) A* }8 O解决方法：

2 a7 r  ]/ K& e% i& dyum install httpd-devel
$ `* [3 e( E% W! T2.没有pcre

! F" S4 ~7 i: R; v# r. tconfigure: *** pcre library not found.
( x; H2 H. L8 ~: t- Oconfigure: error: pcre library is required
- O9 F; y6 F* t* a; A! F6 R解决方法：
- i0 `! P( E' H0 c# d
yum install pcre pcre-devel
3.没有libxml2

7 q; Q' d0 H/ ^' f* v
$ x/ W5 V4 R3 jconfigure: *** xml library not found.
% A- G+ B1 _% G7 C) rconfigure: error: libxml2 is required
解决方法：
/ T; ~) @* z0 h& `( x
: P; e( P0 I; f! O& g' |$ Zyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

  b0 {4 Z* \/ _1 X7 f2 PTengine version: Tengine/2.1.0 (nginx/1.6.2)
* M0 [$ P$ h& E& Z: @nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
: u5 y+ _2 w) u: G/ G8 ?0 [- v$ U- R
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
& ?0 u/ s9 T2 T4 ^7 u2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
, @5 ]) c7 o7 _" J- W& S2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
& ]+ }! X+ R! O& U( X" e2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

+ n7 W( b- y. q7 J) i+ gyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
+ a6 Y3 l- F, U& A; ~
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
8 }, L( R8 n6 W5 `  M8 M解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
* b% |7 K( _1 [3 |: k- s3 MSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
& E) P5 x8 y9 q) a: a' [" Thttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
; N) ?: C- q/ ~http://drops.wooyun.org/tips/2614