nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

  |4 m' ]3 d5 ?+ C% {$ z( _0 i一.准备工作

" ?! U4 D) k2 |系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
. t! ?; k) m, _0 l) [- H4 n" S! ~
7 d8 |" R4 L. Tmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
3 W- l! i. p; c1 @1 Wtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
, L8 _. O; x# o; [! W; k
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
& R! u8 f* S. Z二.启用standalone模块并编译
9 i% u" u3 F6 T5 ^& n
下载modsecurity for nginx 解压，进入解压后目录执行：
) N  {5 |; P& u' U
./autogen.sh
) r6 R4 r$ s8 L2 S5 s0 M3 D* J./configure --enable-standalone-module --disable-mlogc
make
$ {1 d/ T5 V" E" ]4 c# J3 ], a7 n三.nginx添加modsecurity模块
; T! n- \& e% F; N
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
, t6 y9 a/ e- n! S7 }: x# J6 r
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

0 e' {' h' L$ u2 V! o1.下载OWASP规则：
- y8 b, ?/ a$ e6 [; ?
' p8 @- r: v. egit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
$ N/ @" Q+ O: [. I2 s5 `) L: u# q
7 _; f) r6 V7 i0 o$ Q6 C* ]) kmv owasp-modsecurity-crs /opt/tengine/conf/

& \- ^" I: c! ^8 p- |% wcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
4 R3 C$ O/ G5 W
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
: Y$ N. }6 T4 N, r: W
  g# U) |0 e, _4 A8 k编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
) W* f7 |( w) e( V  w
/ R* L4 p0 h- |9 l0 v3 Jowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

# ^0 v8 d, s# a. ^) S' MInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
' G8 G. z, ^  r4 n& q( i& jInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
4 X* V, G7 ?  `+ `9 ?Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
& B  t  S: ~& ?& K: D9 BInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
7 A% h8 g0 u/ xInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
) M4 a1 B: v  _+ yInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
. |/ A' q/ N# @  X$ t* a五.配置nginx
4 _6 X$ L6 u, R7 d" o
, B7 R0 L% f8 ]6 G  ?在需要启用modsecurity的主机的location下面加入下面两行即可：
3 v- K5 k2 l1 H6 G3 b3 C
! M* Q( o' c" b0 ~0 }ModSecurityEnabled on;  
, }6 X! l6 t9 ]$ h: jModSecurityConfig modsecurity.conf;
( K9 s% E- J  Q" J8 ]' ?& S' i& X下面是两个示例配置，php虚拟主机：

server {
  @6 V8 f$ F. y# N& B6 }      listen      80;
) r: ]( ^  ?' F- @) b1 ^/ s$ K      server_name 52os.net www.52os.net;
; a2 l/ a. J" ~$ o. j+ u3 w! K     
      location ~ \.php$ {
9 ?" B/ F# k6 b& {& ^      ModSecurityEnabled on;  
! c5 i* l0 u* q; o7 c8 i      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
, x- t6 j  i" z      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
upstream负载均衡：
) X4 H! V: y0 m# x
# L( N' h* k: fupstream 52os.net {
    server 192.168.1.100:8080;
0 e+ }' [& v' }  h    server 192.168.1.101:8080 backup;
}
5 b- g4 q8 ^0 a$ A, _* P
; A  H3 B; M+ \$ n8 V) }server {
listen 80;
server_name 52os.net www.52os.net;
# y$ ?! u$ V4 O* h+ \! r
, C5 X1 l8 R4 g2 g; U: Z* Vlocation / {
    ModSecurityEnabled on;  
. v$ a( e) S* F    ModSecurityConfig modsecurity.conf;  

4 O8 N* ]* z% g- e, D/ g3 a1 y$ P5 A        proxy_pass http://online;
% }5 k; ~. T% H. \; v9 l0 Z; e& o        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
5 R. N9 S3 ~' p0 m4 {1 `        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
  M9 J2 v6 y0 ~2 @7 _$ _}
' l1 }( a) @+ d  S4 |5 p/ Q六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
  C( K2 @* f! G0 e7 N
& o0 \; }5 \3 r# u. f+ T1 W# y% A<?php
    phpinfo();   
* Y3 B* P; F) ^# ~0 G. x+ E& v8 s4 h?>
4 o$ W, @- o! w2 _4 |在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
8 I) l' A( @8 u. i# p! @$ l$ I
9 X  M% Y8 V' R0 u% {七、安装过程中排错

1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
* e2 p& C6 t* E+ k2 V' tconfigure: error: couldn't find APXS
6 A: M- L+ z$ T0 V) T0 [+ t" papxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
  w2 v7 _) x8 g& M. \解决方法：

7 W0 ]: _! `: I9 p! myum install httpd-devel
2.没有pcre

7 Q% Q, a: O- O1 cconfigure: *** pcre library not found.
! G. `) D0 ?5 F1 X! P* Oconfigure: error: pcre library is required
! H1 v2 S/ T& L% K. B! n解决方法：
+ _# {6 ~; v# {+ P
5 |# ~  ]0 D, F& d" O0 L" d- }yum install pcre pcre-devel
% ^6 ?  T- z  y0 ~# k) \3.没有libxml2

3 i# [- J. A% ]+ T+ b% }+ T4 o. V& S
configure: *** xml library not found.
8 D4 A( @% R5 e% bconfigure: error: libxml2 is required
解决方法：
% h3 |' R: P, e% J3 ^* p
yum install  libxml2 libxml2-devel
/ ~0 C( @; c7 ?! _" S$ T0 t4.执行 /opt/tengine/sbin/nginx -m 时有警告

# h  [8 }( C2 x8 [/ {$ L9 X; ]Tengine version: Tengine/2.1.0 (nginx/1.6.2)
0 F; j' w# _' e* ?6 _nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
, O* Q; Z4 _' F  a: J: O# r2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
- |. k+ [1 b1 o1 `1 m解决方法，移除低版本的APR (1.3.9)
( h0 O2 O: h0 }5 o6 x  S# i
7 Y% t5 t9 b) ~. Qyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
+ h3 d* A, O7 b
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
! S9 Z# Z! Z' A$ e, S" Mglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
* h- V" B% |3 |解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
. {+ ^4 h( W& x& h) P6 I4 p
7 |" y& H4 N: C. WSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
" Q3 d+ i- B( V2 QSecAuditLogType Concurrent
3 z" F0 A, C# S参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614