nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

9 I2 _; D+ @; C7 O一.准备工作

5 h% \& R+ P* g! N7 v( g1 H: M5 ]$ p4 b系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
3 l3 l1 B8 z# v0 M+ K6 Z
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

5 K! Q, j/ A% G% r1 ~, N5 A依赖关系：
% q5 s7 A1 T7 Z4 F- ~; Htengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

! ?# K: l$ v# u8 {yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
4 v7 E$ h" c0 O% pmodsecurty依赖的包：pcre httpd-devel libxml2 apr

# k  X! Y# _& @# o6 S$ c9 i6 ~yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
! k2 w4 U- h7 s2 k& n; l$ ?二.启用standalone模块并编译

: @* L$ ^/ s" i# m# g3 n下载modsecurity for nginx 解压，进入解压后目录执行：
8 Z/ r( z7 a8 _% q- t
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
% i8 R9 C7 ]. M, p0 Z1 {
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

8 d7 ~- k' j* ]# h./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
/ u/ z9 j0 b4 P! U四.添加规则
  j% [9 H- ~7 l0 j  O( ^& }( g) |
& g+ @1 S0 D$ E# s7 D# I* ?modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
) F2 c1 x. h: _) k! S, d+ z2 Q
9 ~- g* |! C$ o6 E& rgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
- q7 j% Q% z! w5 `/ ^7 e3 W
$ B& U: b5 Y$ e7 Gmv owasp-modsecurity-crs /opt/tengine/conf/

; x  C: z; O, W1 @- Rcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

7 E# h  R" J7 a7 b' M编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

: w/ |. J$ z4 M0 U, f1 _4 v9 Fowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

" U; P5 i2 G# g8 mInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
8 O( s- {7 b" ?4 n+ _9 ]0 bInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
# L0 Y. N1 n+ T' [+ X% Z% g2 s9 e  bInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
3 B! b; r! i4 B# _) \0 E
在需要启用modsecurity的主机的location下面加入下面两行即可：
# C! w' ~% w4 K" {/ s5 H# T3 ]
, _7 F. q6 \$ D9 dModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

8 O7 C) \" G0 o8 S) p  ^2 S, Pserver {
: b/ B* P* h% A( u6 q      listen      80;
4 s. W$ M2 k; t( q      server_name 52os.net www.52os.net;
8 m$ |6 J; H$ q( c) i2 g% X! }     
9 b' h% T: c8 I      location ~ \.php$ {
      ModSecurityEnabled on;  
* K; j2 U! p& x$ [8 |      ModSecurityConfig modsecurity.conf;
: \& o  ~+ A; t/ m( P
      root /web/wordpress;
      index index.php index.html index.htm;
% |) f) Y& O% Q) H" }& T! Y' k1 B3 c  
" [( Z) p# S, I) s2 ~/ V      fastcgi_pass   127.0.0.1:9000;
. t1 o1 _( T5 `, i      fastcgi_index  index.php;
2 t$ R8 z( z" B: n( k      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
' C, y* n( p5 V* b) g7 @      include        fastcgi_params;
. n. k% G0 `3 f, _, N" P      }
  }
* f1 j' ^+ Q2 {" oupstream负载均衡：
! R# H. C6 p# f* ?$ H) w# }+ h) i
upstream 52os.net {
% |% Z+ A" s, G# g/ N    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
0 Q, l# k- _7 o' [
server {
5 t7 ?- A) e2 dlisten 80;
' e4 ]% `2 c4 \' Z* Lserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
0 h5 B  k0 h5 J6 T
! C6 S) Z/ g2 V. K        proxy_pass http://online;
        proxy_redirect         off;
* G1 {+ ~& b2 D" ^9 a, z' L        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
$ d9 E* v# g  r7 `) S) H0 e7 A# d* S    }
}
六.测试
; U% ^$ \1 J' \8 Q! r
* _5 c) x- x, `. e  f! }我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

9 A* l8 s! |# m. J8 m) f. T<?php
  e& {% G2 S6 U' B) L/ V& ~- ?* a    phpinfo();   
! H# o/ M4 i  l7 W?>
7 p* A1 q( Y5 W% m* S在浏览器中访问：
2 l% a8 w4 f5 q  D" }! C: s& o
7 ~) J+ W4 B4 F2 yhttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
, Q% W$ |" C) V9 K- K2 whttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
( W" A1 c- Y6 R% w: W: E: P2 v说明sql注入和xss已经被过滤了
/ x1 ]0 q: D/ |2 a& M
; y- o/ r1 ^3 ~( }6 T3 B- F7 r七、安装过程中排错

! x- w3 |2 A$ \; A* }- H1.缺少APXS会报错
/ L, W$ u8 h5 i8 k7 U
) C( D4 h$ Z. }/ Y3 M" G7 c. nconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
, }8 w% p0 i5 Z6 W" @apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

0 u, r% Y- y' t# l0 M8 Z$ ?* Fyum install httpd-devel
2.没有pcre
6 ~& Q4 i, e& ^/ i* {
configure: *** pcre library not found.
configure: error: pcre library is required
3 g! o" K* C* p2 t+ ?/ Q解决方法：

$ |& v" _7 C# n2 Fyum install pcre pcre-devel
! S6 R, h7 s: V4 ^3.没有libxml2

2 Q5 [; I( e2 V, w
% ^+ K- O8 c4 l5 L- r* C6 nconfigure: *** xml library not found.
configure: error: libxml2 is required
3 l& _1 q1 `0 F0 k0 P! }解决方法：

yum install  libxml2 libxml2-devel
5 M! O8 l+ P+ ?! k2 I4.执行 /opt/tengine/sbin/nginx -m 时有警告
+ b3 X* {; n  J; K/ M0 {- {+ Z
& }% j4 x' Q, JTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
7 Z6 h) S/ l- U* E) m( ^原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
/ p7 i( A$ S+ s% l; b8 ]% t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
7 m$ M3 n2 S4 u, o! i  h; e2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
! ], t8 y& P, q) q2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
! r  Q, V* ]9 L5 X1 t
4 }; L" J* g9 q; ?yum remove apr
0 e" }7 n' {/ w* b" G5.Error.log中有: Audit log: Failed to lock global mutex
6 A) r2 g& t: d" s
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
! v# F- E1 v8 D1 n6 A: ^$ aglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
* ?3 \! {! A! U  o2 A, _; R+ r+ o4 j
SecAuditLogDirMode 0777
/ F3 K" }  U: D% |9 ?/ K) S& FSecAuditLogFileMode 0550
+ j/ x0 e" k! t- D: c, {2 k: T" JSecAuditLogStorageDir /var/log/modsecurity
, m' K( t$ }1 |$ a2 W, h6 ^! qSecAuditLogType Concurrent
参考文章：
, |- _3 y6 X8 Q' p' {https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
; h0 W; L0 f  J; b' p' }. _http://drops.wooyun.org/tips/2614