nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
* Y1 J3 b, y6 e1 q1 l! y5 _
一.准备工作

; c% v' @( |6 n& C5 d$ a3 s* k7 P系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
  w" e  {- R1 Y- N3 N; Y8 y( G
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
1 K/ N- Y$ s; A- D4 J
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
+ E, [+ t1 w9 Z4 g, ?7 i
7 O; ~- U! Y) H1 @) _# r5 N& vOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
* J  c* S" A- q; m* ?' f: ztengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
' V& [7 l" }2 I0 F+ l3 p. L( W* _
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
3 x" ^. U  S) N  v- w  X$ @# k
4 c8 P) K( l7 q2 E6 A3 H" Syum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
  I# _2 k+ O8 M
下载modsecurity for nginx 解压，进入解压后目录执行：
! I2 f. k+ M8 f9 d- z
./autogen.sh
& L3 o2 A/ u: ]2 s./configure --enable-standalone-module --disable-mlogc
# b' m5 C4 q4 Omake
三.nginx添加modsecurity模块

! k* Z: e! ^9 N# J, y! G% R在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
5 n- |8 a! K6 @7 k0 M! g
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
  p5 I. q. Z: L9 H- K, Nmake && make install
7 H$ z% d/ s7 i9 M四.添加规则
# v2 O! g* o( a. l/ j- {
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
5 p$ c; i. d0 i! }# l, `6 h
3 A5 D1 |5 X3 Q6 }, D* q5 b1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
, K' C4 ^! O2 }5 V6 e
mv owasp-modsecurity-crs /opt/tengine/conf/
3 v" D0 v5 s8 s( f' r
. k# b' |# H, V$ ncd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
4 @' \( y  ^4 X& z/ j
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
0 l( D* L3 s& y2 s( g) H; B4 P
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
6 I9 N- }9 o& i
# a, ^& k) a( S* DInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
, T" M/ f4 X: d! uInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

8 T2 W5 ]; u5 o$ U3 N在需要启用modsecurity的主机的location下面加入下面两行即可：
1 ~. [9 T, X5 h; w8 w$ V
ModSecurityEnabled on;  
! ?! j4 z# H7 D6 E# _" EModSecurityConfig modsecurity.conf;
7 F7 Z# P4 y+ |2 i2 ^下面是两个示例配置，php虚拟主机：

server {
      listen      80;
      server_name 52os.net www.52os.net;
     
: ]1 q( V6 }; U+ ^: o      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
( P; u2 e' R; z( R9 v# K
      root /web/wordpress;
8 E/ _; E6 {$ b$ A3 G% A& D/ P5 c      index index.php index.html index.htm;
  
* r) l# h! v$ ?' `* s! ~      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
5 U+ R, U) Y1 g+ x* a      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
8 A0 r. t* [: w% Q. Z      include        fastcgi_params;
' }9 s: W$ j$ O. J      }
0 E. q2 Z# N+ H- W' u& z- @- @  }
upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
: b8 ~! L0 O4 a    server 192.168.1.101:8080 backup;
! W7 F7 b% r& w8 s3 O% c. P& K}
0 z1 N  l, \4 o' }
server {
; L% m& G) ]1 V% [; r& Q( Ulisten 80;
% g. J& A& B) v; a/ L7 H: m8 rserver_name 52os.net www.52os.net;
& ?$ `* Z: |6 w" w# x& H' X
! A7 \/ l5 V+ {6 Elocation / {
- f9 \: H) h1 _% m    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

6 q) z0 b) ~7 S1 n( s        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
2 I; O- S, c% b6 [" j. J7 Z    }
- Z# C- ~) j) x$ h}
, L% r, n/ m5 G1 g1 q5 D六.测试
& Z, c6 _( X. }) u, R
& A# J9 q3 q8 J) Z% L, ~我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
$ w2 ^1 j# W& f, g! f
<?php
3 H4 H' e) v! C4 x    phpinfo();   
?>
在浏览器中访问：
: y" `& R* r0 X* V
3 j4 n% N; A4 |  A# l* ]. S9 o9 ehttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
! k* z% u  x  ^  @
七、安装过程中排错
) q, ~! M/ w8 W- I3 X
1.缺少APXS会报错
7 q! j( |! d& e3 \' z0 }' Z, x% H
configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
/ r8 I0 y) I% Z) Sapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

yum install httpd-devel
2.没有pcre

7 C0 b$ P' W1 E- q) i3 n2 Iconfigure: *** pcre library not found.
( X7 C' v  y! O$ w* C/ b9 lconfigure: error: pcre library is required
解决方法：
' b: y  B; l6 t* @! M. G! Z
yum install pcre pcre-devel
) S' j* w; r* k1 M2 `3.没有libxml2


' f/ }% N& V' t- Z  m/ T' \configure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
. a) R' I- I9 Q: ~% h$ p. t
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
! b# s; Z. w/ f- R5 e. R- a
/ M$ V- }* v. u) T6 ~Tengine version: Tengine/2.1.0 (nginx/1.6.2)
5 ]: O9 ]& R* [7 C( O, }4 @2 y' enginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

% Q( K% S- V- N$ t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
: U* b9 \$ |& z7 p& e2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
$ `+ X( }1 _. j' f& O7 q' ^2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
- W: B, g* ^/ A) ]  A9 M解决方法，移除低版本的APR (1.3.9)
* E; g. h0 n$ N, t  v9 x7 C
) o' K7 w1 I* c, c. tyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

+ R) {' G& r/ f7 T. ^2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
* g* q8 j) o7 b$ r3 rglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
1 `: m* |$ k7 D) u: J$ L6 v2 V解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
" X  f, `7 |; m
, v' s8 h! l7 J5 G; J( i  gSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
; l3 b, `3 M6 |9 X; N: b. aSecAuditLogType Concurrent
( O8 a3 D8 Z7 O9 ^参考文章：
" y6 a8 `0 M" r" @, p  khttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614