nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
2 C" b2 o8 [7 i
4 }% b9 \# Z; p; Z. a7 U8 j- S一.准备工作
  I2 t# }' V- D5 A7 ], Y0 _
0 u" q( J( B+ `$ c( |) [6 g  s系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
6 U! M, _& q* D2 C2 S( Q  j
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
4 p0 Y0 p# ~) q; E& C3 q4 V* T
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
4 G2 k# }0 e1 A: p5 ]+ C0 D
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
4 q  d0 l2 J7 A- u( i
) ^. z) Q* X+ U& C依赖关系：
* m/ |$ v- ~6 u; y3 r. y7 _+ g- Dtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
" X% S. ?# Q/ j% H4 e
9 y: m+ l& t$ t. ~  ]yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
* T, O, p- |2 G- j$ f+ y' D# W/ Bmodsecurty依赖的包：pcre httpd-devel libxml2 apr

' e' A/ g0 I" ^; p7 Oyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
7 O! p. l; D6 ?: K6 P9 t/ y二.启用standalone模块并编译

& f. @6 n( V2 l' ?2 e. O下载modsecurity for nginx 解压，进入解压后目录执行：
( R2 \8 {, F, l' I
./autogen.sh
8 {. [4 }3 R: j& X4 \& f./configure --enable-standalone-module --disable-mlogc
make
0 ?. l- |5 [7 u5 u* r9 F三.nginx添加modsecurity模块
+ |8 k- y* P/ ]3 |
5 c6 O- B$ X* z! j在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
8 o+ E( Y3 u4 Y" r! Z" `2 Y8 }' h- `
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
; j! B! ^8 x$ `" A$ T* N" w
1.下载OWASP规则：

, }6 c1 t' Z- B4 c; Pgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

- V- }1 p" K' l6 \+ lmv owasp-modsecurity-crs /opt/tengine/conf/

/ {- \- l. Q; _8 dcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
7 u/ T' e* D% Y# A# C
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
0 j$ |2 J4 v3 C3 D  `7 s4 z( D
) o; M' C% ]+ j2 _Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
4 _& \% ~: P* [; }Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
/ U+ F* r7 \8 W' w- @. GInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
! n8 ~; C6 K5 _
server {
6 r" Q% ^% {" `9 k/ q$ T: X      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
) v6 J, k" T2 z" Q; Y, n      ModSecurityConfig modsecurity.conf;
$ K7 K5 H1 u8 O  H" g9 L
, _9 |, a+ r) h( R      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
$ N) Y9 _4 s1 N" y( Z  }
6 Q; M4 V4 D+ K% iupstream负载均衡：
  F6 F/ l1 ^+ J% s2 l- _
8 v  c' I% I( J# f0 @0 @) r3 uupstream 52os.net {
    server 192.168.1.100:8080;
0 Y2 v8 f6 P& T' s+ j! Y# Y( e    server 192.168.1.101:8080 backup;
}
( Q* ^2 e' `/ L7 j1 c& ]  l9 D
# O3 i, ?" D7 a1 h, \% tserver {
listen 80;
$ z! C4 n+ ~* ?- }) _; K# nserver_name 52os.net www.52os.net;

5 O  K8 r4 Z; ?" ~  w0 A+ Klocation / {
: A0 a. F) q# Q$ j4 E( C    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
, ~* B; [. \7 T/ c; E
  @% s* E) r% {. N2 \- r# H        proxy_pass http://online;
2 f1 {9 u. j# ]4 E7 F6 ^2 N& k        proxy_redirect         off;
        proxy_set_header Host $host;
9 F' w8 i0 m( }( H3 F4 `+ \        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
, V, w9 V+ B7 Y; J/ H# l  Q) x0 M    }
7 N* }4 _2 N& f0 B}
& B, I( }8 U% W  ]六.测试
( ^9 l* J$ f/ R) Y, f
" m1 o( s# \/ i我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
在浏览器中访问：
% K1 ~4 R; A( m
http://www.52os.net/phpinfo.php?id=1 正常显示。
: L0 ]* h% L. s% l9 R& Zhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错

- r2 r4 q. Z3 Z' r3 S  [7 N1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
  {7 p9 `% G& b% Cconfigure: error: couldn't find APXS
5 ]/ Q# Q5 F, l/ `# ?8 P6 Q9 rapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
6 j6 [  z; g( q$ r1 P
' Z( ]( ?* r3 Z# c5 G3 I, Zyum install httpd-devel
2.没有pcre
' Q3 e9 e' V' Q$ `3 @3 k5 s
' J2 [/ h) g  j% Yconfigure: *** pcre library not found.
configure: error: pcre library is required
3 Q8 q! q  V" Z" G  ~5 G( L解决方法：
) ^+ m/ p$ R" V) l, V5 S8 h/ B
( P" ]) O8 N  I; X# L* lyum install pcre pcre-devel
( k5 R- b9 d: w  E3.没有libxml2
1 t! q- j* d: M. K% O$ L# |" p
0 W$ B; \) V$ F
9 g# g! z; o8 |* i: k% qconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：

' }6 {5 J& i  p# e8 ~& iyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
" C* T, d7 v, R1 x# ~3 y" j
$ Z" D# i/ W8 C. j0 cTengine version: Tengine/2.1.0 (nginx/1.6.2)
* I  T) k; B  w  l- n. z# rnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
! a7 k! {) \! a' U% n0 d原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
- k7 p3 E5 L  u- B  B4 b! N2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
9 ^9 v! P/ |3 ?9 R* _3 O
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
. M# p5 A% _+ N( _3 L+ ^global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
& Q4 y8 Z# z& I0 ?& G% \编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
. h4 ]6 |- \& u
SecAuditLogDirMode 0777
% r! |; p8 ~& f) WSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
% ~& V7 p! y4 v6 ZSecAuditLogType Concurrent
  ]/ a2 \3 F6 U% J( c参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
, E' P- T5 C- p( F0 B* vhttp://drops.wooyun.org/tips/2614