nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

2 s4 ^" l/ x- e4 ?一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

! ^" v: ?2 p/ [& R$ x" z2 qtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
: I6 F$ g2 l$ C1 r% Y6 |
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
# m, }! n- I1 d
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
" p, |+ o" w8 l, {modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

/ j( _7 i3 U! d/ `) v下载modsecurity for nginx 解压，进入解压后目录执行：

. }5 Z" i7 i. @' a/ S) H./autogen.sh
# N0 O- I5 f. v  ]0 f) N./configure --enable-standalone-module --disable-mlogc
/ A2 n+ N/ Z6 I/ M$ d# ~; Omake
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
; m1 g) i# R! ?" h- `, fmake && make install
3 v# M, w  }* ]& w四.添加规则

+ N% `' M$ N; |! \( Jmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
1 s! F, E- Y7 h" b
+ n' Y3 s1 j) Y6 B, y; a% [1.下载OWASP规则：

- \& Q& S. v- i, S" o9 f; agit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
9 t7 s9 L0 v3 \. @: l
: s; `& N+ q6 q* tmv owasp-modsecurity-crs /opt/tengine/conf/

( [9 P' I9 M  ?; z, ecd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
  c# m# b  w! s" Q2.启用OWASP规则：
  ]3 n0 ]& s8 s& j# n) U$ d; f
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
, ~9 m; L, L6 d7 J$ C
( f+ t) N3 G+ g8 n" }9 N& v1 j& l+ s编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

9 y% X8 V; F' d6 H) h* vInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
! l, t+ T4 ^3 y( V, P3 ?- }Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
& @5 h* }$ b6 u/ D4 L7 q) M8 iInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
2 {2 h/ Y4 w$ i) I7 E8 j" h
ModSecurityEnabled on;  
! ^; o9 u; W8 T( H! }- C6 aModSecurityConfig modsecurity.conf;
8 \' U; L2 T8 p3 Q+ v下面是两个示例配置，php虚拟主机：

! Q7 b" O: w. ]5 W: }- qserver {
- M. {! N  O, s0 L% G( D5 \& w      listen      80;
      server_name 52os.net www.52os.net;
     
- I5 b9 d! @" l      location ~ \.php$ {
! G- D0 Y/ g; \" Q% }, W  f0 z  y      ModSecurityEnabled on;  
) e, n2 w6 @& e: o* a# A; |      ModSecurityConfig modsecurity.conf;
3 l& p' k- M$ ^/ @
      root /web/wordpress;
, V) a. j8 J% ]      index index.php index.html index.htm;
* r* z3 X9 x7 M! S! }, ^- s+ S  
. b$ @) u% F1 y! S8 h. u      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
- U9 Z" Y" ?% H" G( M      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
' F- y* z- O2 P3 s      }
  }
# T+ X7 E& h8 O6 {$ E. aupstream负载均衡：

9 l9 `, x5 @7 Pupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
% |+ U/ b4 g9 {: H# m6 Q- J}
7 u  I" D$ Z8 P7 x, S
server {
listen 80;
server_name 52os.net www.52os.net;
6 ~- b: C1 o$ [: w! v
6 x% i0 K$ ~; W, ]# Ylocation / {
0 \2 }; C) J9 z    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

7 ?% N4 D: D# v- p        proxy_pass http://online;
        proxy_redirect         off;
: f4 C/ m. |+ [# d7 n0 ^; M        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
9 |$ o- v3 @) Y' f$ E2 Y7 a9 C        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
' u& Q2 ~! R* ~" a- ?    }
}
7 z2 |' E( J' ?+ y( J; f六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
% z) ~' ^8 H2 ^
. h3 {* W% ?6 |6 K* C- L<?php
    phpinfo();   
?>
在浏览器中访问：
# K# s7 ~) G# g. p0 b
8 y( p8 F  q7 E+ H: U: q: ehttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
" d# R# r& v1 G* u4 e: zhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

0 {% F8 F3 U- C- Z+ I) ]% g, K! Q七、安装过程中排错
4 L' o& j5 X; Q6 Y- _. T  M
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
/ o: V$ Y( g: T1 bapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
4 K  N, H. i! j解决方法：

yum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
configure: error: pcre library is required
. T! p0 P& B. u1 C& J! _# t7 s$ U5 S解决方法：

: x& C: \+ Q1 B: i) Uyum install pcre pcre-devel
) @2 l' I: f& S% E! t- P' K' O3.没有libxml2


7 q# A5 T+ [- t& xconfigure: *** xml library not found.
' k2 W/ b7 h- Cconfigure: error: libxml2 is required
/ |* A" M; o$ |4 r解决方法：
6 L/ Y, v, I% i$ p) j# N
9 ]! [+ l3 a0 u# F5 s# Pyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
, C0 \' q1 R. e2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
/ r+ g$ m& p, T2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
  U4 y) Z. ~4 s, |2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
+ b& L. g' s. V  B' P解决方法，移除低版本的APR (1.3.9)

: O! }, S: [% U' F$ g$ N+ r( lyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
+ g/ E, e+ S4 c
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
! w; [0 P( h# F5 p4 D, x" {& ]0 u0 Q6 z解决方法：
6 w+ M; ]4 ?; C- n编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
- U- J% Q9 o. v' v- p
5 x# r% s# P# L* M2 GSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
  |( Y/ I' f' f$ ]- D! S. R9 ZSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
. P% N9 a* `) E4 c6 t9 M- |8 Zhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
5 [! J, c" f) ^  S8 \http://drops.wooyun.org/tips/2614