nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
3 P  w, z5 I- W) G( h4 e
$ M' b* X8 C. [1 a一.准备工作
$ \% A  Y. l8 |- |9 Q
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

! v* [/ Z( Q" R8 e1 \" S3 K( e) ]tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

& S$ A+ Z1 U" [) Vmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
7 y# G1 c# u; N( l4 W
" s: y9 B8 M  }+ @OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
: S6 Z# F; b# n  I. B- M
+ L* o6 n  R: T; @依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
6 Q5 I- x5 |; p1 |3 c9 l
& o  c6 \$ S9 ^$ W% H$ H1 \' Qyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

3 T; S0 \# y& s' E, O/ a$ E. Yyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
1 a" ^1 x2 V# ~  h二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
# O, s) _% Y( x" v* b
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
3 R$ L) x  u* u! d) o: rmake
7 e5 y3 f$ G8 f6 G& m4 z2 g2 a! A* W( m三.nginx添加modsecurity模块
" F3 o3 V( p- x( R2 L( B$ i- a
5 }3 f; H8 n6 J" r5 U在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
9 s9 B, M3 C- W3 O! @; ]
0 t2 ^( A$ Q0 x5 x./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
/ p5 F7 A% ^  d* Q; s! b5 C, l3 zmake && make install
四.添加规则

9 [6 Z; N3 N, k( B) O7 Imodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
) z* W1 P8 x9 e& R+ S8 ?
2 w; X- |) c% V/ N6 I1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
1 w! B- n0 ~: n
2 M* l9 @+ T& x  Imv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
& s. a% ^# q9 G6 ]" s2.启用OWASP规则：
! l( @" V& L# S# C# g
2 t  R- c% t/ J4 z复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
$ g/ {7 i# f- i) A4 N7 _
9 b# F) r- ^. H编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

7 g. R0 \+ k" iowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
( m7 ^5 r" S0 j! F, _$ \& t
" [1 [: P( P! aInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
; J) ^& `" `4 R- r# bInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
/ w. ^  |; M# F9 [Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
: B1 M' N1 l. L  k0 n4 }Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
' i0 C: M  ~" ~& P, W8 g4 E; GInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

5 s/ C. o- W4 S- S1 v$ r7 [. W% t7 @在需要启用modsecurity的主机的location下面加入下面两行即可：
% N8 N& J" e# q7 R, ~& r9 Q
# H5 C( v6 I' R$ \* w' M9 N7 QModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
4 S2 u$ t4 {( ?; Z- G" D* O下面是两个示例配置，php虚拟主机：

server {
      listen      80;
1 h+ O$ P1 y% v+ z: Q1 O      server_name 52os.net www.52os.net;
: n, }1 d  T0 p$ _( E1 N- r     
: q! U  a# ]" L+ J' X8 p; ^* K, B      location ~ \.php$ {
" M9 H8 `4 _, W0 r      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

; F# X5 G/ L6 ~- \3 ~. S( M: K      root /web/wordpress;
      index index.php index.html index.htm;
+ u6 }- S3 O- h- M& j  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
. X/ ]0 K7 p$ }5 M) P      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
* t# a- K7 H: H, i# u% E7 ~      }
5 N3 K9 K( y" y/ [4 x' f. j' V, a  }
: \* j" E" F) j5 R* uupstream负载均衡：

& ^! G5 a6 _# I5 m# k" wupstream 52os.net {
: s* f) ~2 q0 E5 I    server 192.168.1.100:8080;
( R3 B1 V1 n& L" o8 t9 R    server 192.168.1.101:8080 backup;
}
. ~3 _" G+ C# u9 I5 v
( X- h2 r7 X; h5 W1 H0 bserver {
0 K- R8 o: f$ b+ W  L, {! [7 x8 Plisten 80;
& W% u* ?, g1 \( a$ I& aserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
: K( h) @# h- M" ?' D    ModSecurityConfig modsecurity.conf;  
  A! i) h* j, a, A( \2 K! \; {) E% x- Z
        proxy_pass http://online;
        proxy_redirect         off;
" K3 ?8 a9 x7 r- U% l        proxy_set_header Host $host;
: G4 |) j- `4 J/ D        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
1 G) g4 ~! y- w0 M* c    }
3 [5 i2 S5 j3 h8 Q7 t  i" q9 l}
' C  `' Z( k. Z' A* e$ k2 @' L六.测试

; M7 A- m1 F" v& ~6 F- p# E我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
/ h4 v8 l; c8 [% B    phpinfo();   
?>
在浏览器中访问：
0 M  `, f, w/ y4 f2 U# w6 c) M
) i: M& q: o) W9 U$ u0 ~# I+ Y) whttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
. ~4 W& A) O6 p: m! L$ a/ F) {* Z说明sql注入和xss已经被过滤了

七、安装过程中排错
% g% t+ k5 k) a- d5 `0 ?9 R
1.缺少APXS会报错

( W: k( K! ?1 j" O4 ^6 z: G# A, ^2 gconfigure: looking for Apache module support via DSO through APXS
& ~& ]- C' T8 @1 I+ ?9 S" }0 Nconfigure: error: couldn't find APXS
4 i8 [5 k2 Z/ ^8 ^2 W6 m- Rapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre

+ I; Q6 q9 U; }configure: *** pcre library not found.
9 |7 W' Z; @% S4 {6 Fconfigure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
5 ^, x. J7 a# s" n7 x- E3.没有libxml2

3 U* f, T8 v0 u" \& L
configure: *** xml library not found.
configure: error: libxml2 is required
) T, }, _% k8 g% E6 `% I解决方法：
( y7 o- M) t% }% N* c' e' b
, C# }( V5 w2 C, f$ kyum install  libxml2 libxml2-devel
& K3 ~. z5 I* v4.执行 /opt/tengine/sbin/nginx -m 时有警告
( ~0 s$ b0 u3 \* M  K% X; [
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

( z4 O2 _% g: a7 j8 g  u2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
, _: s. D4 [; l- J4 o4 ~2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
6 A3 K, I. x, Q; x: E' U2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
5 |- v: K) y; l, i% B0 x( X解决方法，移除低版本的APR (1.3.9)
/ R3 P# D/ N1 e0 ?; Q+ B
  u1 T! F! n9 P& P2 byum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
3 L# e' ^0 ?3 d! Vglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
* k  Q! H* @7 l7 O- G编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
( }& w- T) b& C
4 v6 H" C8 w& {" f! F1 n1 RSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
4 _9 C- {* U) t( k1 V& n# x+ shttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614