nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
% l' ]' I! O- s1 q- u2 _
& C' `! i5 J2 k; w) Y一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
. f9 P6 u5 D. O
) S5 K' }9 Q" q- V% Dtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

7 x! K7 o' A% l) S9 s* Vmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
9 P, a/ X3 }7 z( x( k) k% `5 O
" B6 k$ [! {) s5 E8 I1 T! n依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
/ T. Q0 T' y& t; U/ a
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
$ a+ E. b* U  i# _) Bmodsecurty依赖的包：pcre httpd-devel libxml2 apr

: G, F! n2 ]1 L; M7 n0 ^3 Tyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
3 \2 T0 O  Q: Z8 P9 d
下载modsecurity for nginx 解压，进入解压后目录执行：
% H: R# u5 D9 ]5 w: A1 c
3 q/ b' o! g+ e, ?; S/ ?& F; E( N, r./autogen.sh
./configure --enable-standalone-module --disable-mlogc
" E6 D+ N/ v% f( lmake
三.nginx添加modsecurity模块
7 V8 z) P/ A1 g" t3 Y5 u, s
0 X# {! E/ S4 F! \7 J% X% Q在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
! s" d, e* s7 L5 e# N
; O, n( }8 q* \& a$ Dmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

# E3 [# `, ]8 r. n8 r4 m1.下载OWASP规则：
: G' h/ L* D- [8 ^0 M
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
/ t8 A2 \0 j6 r) d
& K& V) A- r8 M: a) e4 [mv owasp-modsecurity-crs /opt/tengine/conf/
! R8 y- U% U$ d: t8 @) }, i8 J$ T& a
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
. G4 E/ T( a( ^/ t' F. j
6 u6 E6 W: S; t9 S编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
* h. {6 S+ H+ ]7 @
% e8 P  ]8 c2 _" T7 n5 W5 A; Cowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

8 q" |/ a. S$ B/ ]2 b' `Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
8 y4 o: Z- R% o9 z* u% UInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
5 ^) n" F8 ]4 ]8 j1 E9 a6 R& ^Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：

; n6 f) \' @* ]ModSecurityEnabled on;  
7 h2 k+ F8 F2 y3 z" s/ s! W1 CModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
4 c4 ~6 R. U: [& }% F+ ^) F
3 A* A; ]* I4 t* d# U/ H) rserver {
      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
" x. ~- `( I/ g8 s& m+ d. f) {1 M: u      ModSecurityEnabled on;  
" q" J/ Z! O$ X      ModSecurityConfig modsecurity.conf;
) L4 N9 z- F# |, u
      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
$ Z  U4 B& z- x1 Z      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
" r3 X: ~- X* v$ E. o      }
  }
: d& I. f2 F9 x' e! J, f, Dupstream负载均衡：
/ a7 s% c4 B3 K- e/ V
: }$ M2 [4 h! b, d4 E  [upstream 52os.net {
+ D! u2 R! ]- i% l7 Q6 |    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
# f2 \- P- n6 }}

! k! I! W: f; vserver {
listen 80;
server_name 52os.net www.52os.net;

- Y5 Y) z3 O6 n! d" B0 ylocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
. s" H2 K( F3 a+ L        proxy_redirect         off;
" G, K5 c9 ~( G& _- V        proxy_set_header Host $host;
5 ~% F7 `+ F  W: ?        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
) p" z5 D; i6 a$ l( Y3 [    }
4 W3 H6 U$ I  f  H: m( D}
六.测试
* p, Z3 J9 z; ?; Q: u
: Q* P( r2 |3 y& F5 ~2 v' f我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
/ Q0 z% y4 d5 T5 U6 h
<?php
0 d  d) d. Z/ e# {( N    phpinfo();   
- X0 F/ h8 U, O7 e$ A?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
% T8 T9 t! f/ ?; u% S+ {6 xhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错

  J' ~/ @, E  Q& I9 O9 p+ ?" K* |1.缺少APXS会报错

) v5 v1 @7 F* P+ w/ y% oconfigure: looking for Apache module support via DSO through APXS
% r' e$ p5 b  T- Jconfigure: error: couldn't find APXS
  V. {- d/ F  [, G  {- S/ I5 {: capxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
3 c) K+ ^0 \/ N' `
yum install httpd-devel
2.没有pcre

3 N: l: J0 n5 j" E+ R0 Iconfigure: *** pcre library not found.
- W! ]3 j$ d3 u- Hconfigure: error: pcre library is required
解决方法：

8 K7 n3 h, Q- Y) p8 iyum install pcre pcre-devel
% W, ^# {" ?, x2 [8 B" D2 y3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
  a7 t/ N! d* Q8 s6 N解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
/ K" v2 Y7 q& F# q8 H7 c" @nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
6 M2 n+ T) A) R- _4 E* [
4 Z+ P1 _, }* V! g$ Y2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
7 v% A2 I' x$ e/ E- e2 V2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
+ c+ r: s: r/ [2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
5 N/ k! w) K4 D0 w$ Y$ X解决方法，移除低版本的APR (1.3.9)

/ n; P4 g8 T/ h" C( ^2 ?8 Dyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
. r; a* S+ m3 y. g* R) G) ~
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
, E  K3 R4 T) }8 W# Z, V解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
9 y7 r9 W9 I2 D  ]- M0 _
* u4 i( X9 r. c  g" B* aSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
$ G0 j, ^: ~. x0 @& ?5 kSecAuditLogType Concurrent
参考文章：
7 H; y" j8 @( ^https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614