nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
/ x  a, ]3 y6 {
一.准备工作

# _; D- f8 t( @; a- u( G  \系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
/ P, j, R, [: [. O) A
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
6 o. p% p; P" x! C/ e) m8 X
4 u$ I) G6 `8 a( ~7 X2 q6 V3 t' |9 ^modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

3 g. l, {' H$ m$ ?% h3 f! pOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
1 p& B7 E8 n6 Q) G0 `  otengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
% j/ ~5 m) j) i" |  o
- y9 s; P+ B. T6 u( N  i/ E8 b9 ~yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
# b) j- `$ ]; v: b. b8 @
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
5 w- `' ^% I& p+ P二.启用standalone模块并编译

. G- q0 G6 ~* C下载modsecurity for nginx 解压，进入解压后目录执行：
! `" j2 D  V( `% Z6 L3 Q
" _: A5 y0 s( U, z0 I./autogen.sh
./configure --enable-standalone-module --disable-mlogc
+ |# J- H5 q# Xmake
6 p% z% n. w3 G3 T: m% e& V' g三.nginx添加modsecurity模块

& O, Z. D3 G1 [3 R在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
$ ^. j4 l7 Y, S, j- N& v0 I9 u
' h  Z( y' S. w$ I9 l: ?. C* T5 @) D./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
% [9 j3 d. }( s6 q- A7 X" Z四.添加规则
( S; W# ^: M1 z+ }
$ K8 a) M* E' Y5 _: V/ s3 w2 E. rmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
, r1 d; z9 d; l. R2 x& k+ b
. j- E2 G7 G# j- ?+ N& A* @复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
7 h$ c9 J) R2 K1 }3 Q- O' D9 j) d
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
1 V6 h0 f0 X1 f; O; g% [- K
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

; U: X: S( k% w0 w8 w' hInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
! ^$ j3 i- m/ N8 y$ FInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
7 J  Q8 `$ n! j/ ~Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
- ~' p: ?- c, x& ?, |Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
$ |& w! V$ a5 x- R  l' ^Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
$ o5 S- v8 f( o+ fInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
% C) C; b' k5 R. t2 y/ [6 q) D
# `+ ~4 m$ N8 n) \. h! a& L在需要启用modsecurity的主机的location下面加入下面两行即可：
* J3 e  _( T! o  l7 P
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
" ~+ T9 _6 n7 ^, ~9 i
server {
      listen      80;
      server_name 52os.net www.52os.net;
0 r+ s! L4 i9 P- e0 P     
      location ~ \.php$ {
      ModSecurityEnabled on;  
/ e1 U) q  [% k; J: S& R      ModSecurityConfig modsecurity.conf;

8 @2 }0 l# ^# ~& Y) w2 [      root /web/wordpress;
/ J' v) I# t9 z4 ?3 y; u' b      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
: {9 K. H% ?. {4 v2 k      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
5 f7 a  V, `) v8 _      include        fastcgi_params;
      }
  v& ]0 y: T0 }& v: h& i. d# ^$ q. K  }
) x* l7 |1 r, X5 ]& @upstream负载均衡：
" n' a3 _) V& K6 Z- Q
7 I( Y' g$ b5 N8 Iupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
/ h/ R8 r; B3 C
server {
listen 80;
server_name 52os.net www.52os.net;

& E; [! K2 _4 }4 b5 u7 tlocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

( X! O' t- J1 d/ E! ~        proxy_pass http://online;
        proxy_redirect         off;
! `/ b3 o. i7 d# A' G5 r        proxy_set_header Host $host;
9 Y$ X+ {5 T; p; i2 U% P        proxy_set_header X-Real-IP $remote_addr;
* n" m& c; |) Y: M' _        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
* _! l- A# A5 [0 _+ O3 G! y' Z    }
* [" ^+ \% ?" ]& d6 t! e: Q}
六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
2 F) n7 I/ o- g0 [& `; P* A9 C
<?php
    phpinfo();   
2 Z8 l. G: \4 {/ E?>
在浏览器中访问：
& ]4 ~# S8 D2 @
+ |. L9 ]  z1 c! {http://www.52os.net/phpinfo.php?id=1 正常显示。
6 G' i/ ]4 f# o2 U! d4 Rhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
9 N/ g/ d3 v' G1 L$ v2 Qhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
. u7 O& T8 U5 N5 J/ }说明sql注入和xss已经被过滤了

) F7 V: z; S$ r2 v! L; ~9 ~9 H( f七、安装过程中排错

; \! e# f3 L+ j' r1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
# C: _! l) G# d) }2 F( A3 E
yum install httpd-devel
2.没有pcre
1 Q* F+ D2 ^' T( x4 Y; C0 P1 T
5 x. m8 B% q  l9 t2 Yconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

& z) M1 c9 i; L5 R8 |yum install pcre pcre-devel
: ?+ L* d6 o6 i$ ]% ^3.没有libxml2
9 V! s* ~" X  w8 \  y! k

configure: *** xml library not found.
) F8 j/ g( z8 S: g- ^9 pconfigure: error: libxml2 is required
5 X' J; {) X9 f解决方法：

yum install  libxml2 libxml2-devel
3 [, q5 q/ t3 U' Z& Y3 W# Z4.执行 /opt/tengine/sbin/nginx -m 时有警告
7 B2 z, v- L% h- c( f
9 a& z! s8 M. U. V* VTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
. V! ~  g' Z0 H, F5 r/ x原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
1 \( ~- k$ f! w# F
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
8 Q" S2 I% X7 \' `3 B+ R2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2 N3 x7 W7 C, c) ?$ f2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
! @7 x7 F/ J, H8 _2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
, U6 ?4 e" ?1 S解决方法，移除低版本的APR (1.3.9)

yum remove apr
- k$ E( C/ F. ^4 I. W! {5.Error.log中有: Audit log: Failed to lock global mutex
7 k* R4 c* ~. }0 b# K
- d) k/ G  H& c8 s1 ?- e. h2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
3 Q/ h3 {) e2 j+ C2 Jglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

6 {+ `6 ?' [; I! o0 A" `% fSecAuditLogDirMode 0777
* h( H; S6 t7 h8 vSecAuditLogFileMode 0550
8 s" |1 s* K( U/ T) bSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
; s# X$ L8 b: Z" S/ v3 d- l参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614