nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
" K& Z0 N; f8 r: }) x
一.准备工作
& ?* F  T8 O, }; T; b; I1 v
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
. V( S' A# f/ w3 X6 x( M8 `
* O4 b( {3 g: A! Etengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
5 x4 l0 }  w1 X. a- {
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
* F' }7 b) b1 W
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

# Q. n: _3 f8 E( |依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

+ I5 C. s  R- W4 o) t2 R# Ayum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
* ^- ^0 _- f7 S* I# r: d' _1 s
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
! _/ K2 e0 o; y7 _二.启用standalone模块并编译
6 l% L: O) E% `, Y
, q/ D. n% l- }# l4 C; Q: T0 Q7 ]下载modsecurity for nginx 解压，进入解压后目录执行：
/ }" J/ f; ~+ n% N- S$ A, `4 R
1 G0 d$ F6 y' V" C) b* W6 j0 @./autogen.sh
; J6 i! b9 ^: k5 _./configure --enable-standalone-module --disable-mlogc
make
6 n- N) u+ k3 u9 U三.nginx添加modsecurity模块
2 d5 W  Z# X$ \, }
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
. K( ^  v* ~! w# q# m) [
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
' f$ g6 Q: v8 A' X1 B! X7 }7 y2 Y
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

# r3 S6 r$ u3 ?8 j. j& f1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
5 e' Q* k8 h, P$ D  C7 ?3 e8 D9 D
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
; q' f) N+ K* B' I+ I. S5 y5 e2.启用OWASP规则：
8 }( J  a0 ]$ F6 H4 f7 {7 Q
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

1 F: D' e9 `% l编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
' W; @& E4 F& q8 h6 l2 p
2 d* T! \  n5 D2 vowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
; Z4 w  A: k% M& s4 ]$ P) m  P
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
/ J' A0 D6 t1 q/ b" X3 ^9 @Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
( w/ o& z( y. J+ j+ a. B3 HInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
5 v% P( z1 w: i/ x0 m& {2 c6 [Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
% v/ T: }2 a9 O* a; r. j: S五.配置nginx
5 C8 O, {; c6 r. B
2 e7 t) ^' L# ~在需要启用modsecurity的主机的location下面加入下面两行即可：
' S2 X; T+ a  \# }2 j
7 A; _/ w/ l* s! sModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

4 I1 q; k2 y; r9 |1 H1 i0 w" tserver {
      listen      80;
      server_name 52os.net www.52os.net;
# W, _. |4 A" r8 R& U/ K     
8 \6 B3 K( i# F& l( W( D      location ~ \.php$ {
      ModSecurityEnabled on;  
8 Y8 o, r% q) m      ModSecurityConfig modsecurity.conf;
) t( L/ p# |  d3 q& T& l1 @
      root /web/wordpress;
      index index.php index.html index.htm;
5 B% q- n* @. a; P$ i0 p  
. l6 _% x# g) [  b) L8 c' @      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
" j( I: \! W( Q* G/ e5 |      include        fastcgi_params;
1 g2 @( K. U; j% f5 C+ A      }
  }
upstream负载均衡：
' J5 B) z, L0 E2 W
upstream 52os.net {
! }4 P! G. F& @, B    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
8 W8 [* |& e# @
( j; R, M& M+ D* qserver {
% G9 l+ a$ e; z1 r  E% Elisten 80;
) l5 r( k/ i; X/ k; g7 yserver_name 52os.net www.52os.net;

location / {
! C% B. M, M) V+ W, M+ C    ModSecurityEnabled on;  
% w! R* ]7 L. @5 S/ ]: h  F    ModSecurityConfig modsecurity.conf;  

! r6 t* i7 ~! J9 H/ [7 L        proxy_pass http://online;
, {: S1 j& h" L- J9 d% l& `; K        proxy_redirect         off;
        proxy_set_header Host $host;
  U. y0 w$ |- u5 }        proxy_set_header X-Real-IP $remote_addr;
7 C( t7 p# i" o$ _0 E  T  ?6 M: i        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
. ~& u8 p/ Y0 d    }
# J1 b% U2 C. b) I) \* k}
六.测试
$ Z- Q) k# q% p2 ?4 W
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

8 {$ C; C5 m7 e# @" A, W7 `<?php
% [% T7 Z. |9 C5 R8 k3 ]8 H    phpinfo();   
?>
在浏览器中访问：

' X3 Z2 ?; V) J6 _http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
# O3 o, p  m2 k4 v! dhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
( l* y  ?6 U5 ?% D4 W0 x- o
七、安装过程中排错
2 ]$ d5 z  f0 y
# Q: M" Q, X* Y" _1.缺少APXS会报错

$ [; m  p  x& M4 i" Sconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
! c) F4 R% U& x0 ~2 B( lapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
2 C* b! `, L4 e; ]5 U! N2 c
" _( s( F/ \1 H8 y$ @) Xyum install httpd-devel
2.没有pcre
+ i4 h. ]" J& T% q0 @1 b
configure: *** pcre library not found.
configure: error: pcre library is required
+ [! u9 e' _& g( g解决方法：

( k# q* @* A7 s2 Z9 m& C+ Wyum install pcre pcre-devel
! Z/ A. P$ W5 s( c! c3.没有libxml2
" W9 X# ~' d/ [, \5 h0 J
& {8 A' |$ I' }) Y0 Z2 _" h
configure: *** xml library not found.
4 Z8 |9 B+ h0 q& G$ T1 H. F: Kconfigure: error: libxml2 is required
6 x$ }* G$ d$ C6 A  n& R解决方法：
9 l. j0 R. |; u/ J) m! x  z/ W
; G; S4 g# ~( z4 g7 n  R7 F8 I) Eyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

7 c* u( @2 }4 |7 C: Z  q/ STengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
9 u( o" R  V5 V6 b( e9 m, h. c原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
( k( N  a$ e: a$ [2 }0 T( Q0 T: K2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
9 ~& O' n; P$ ]/ Z' _4 o2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
% n( p& s& P$ g6 T; ]5.Error.log中有: Audit log: Failed to lock global mutex
7 y7 }& S. v0 R
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
0 c( h3 r& s* x- Q解决方法：
$ W! g) [, @; a. H2 X编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

* ^  e( o4 R$ _7 QSecAuditLogDirMode 0777
$ ^. ]; u& E* @6 g) u/ ~SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
8 z4 {- b) M& @: E& B6 o参考文章：
9 ]0 K) g1 C) I. H% n" I: ihttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
" l. s6 d- o0 y( j" |http://drops.wooyun.org/tips/2614