nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
. _' X5 {( A3 q5 r0 V4 u
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
) q$ B: O: \& T# j
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

8 q3 y6 o: M, R8 jOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
& t3 `. J/ r6 _( n7 O% d& J3 Ttengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
! M, i( }/ J7 e! P$ q* A+ V
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
' `5 K2 E9 _, e2 @* a
$ O, Q: M0 n; W( d1 t7 U" `下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
2 K- b1 r7 s, c
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
- D& V$ ?- U/ c- Q- x9 J( D
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
( u9 v" C. e, D) _5 ymake && make install
- ~4 ]. }4 R3 m四.添加规则

6 P9 V; X4 R2 Y, D- s8 Q! ^modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
3 R+ j4 J. _# Z7 j
1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
" i8 T8 ?; }, Q0 e2 t1 P
mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
( M  t7 {/ h+ i0 x7 p2.启用OWASP规则：

' ^4 h, I' Z8 O/ Y复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

4 j, L' }0 H# ]编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
; M2 w2 M. N1 r- t+ _
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
' k9 Y3 j+ C$ l" z9 gInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
7 B5 M7 P7 M  r2 u8 s4 O& c3 |3 S五.配置nginx

  A: u: x* s- O) G1 h6 b- [在需要启用modsecurity的主机的location下面加入下面两行即可：

+ P8 C3 `/ u( W/ H2 r* b6 R# p! g, tModSecurityEnabled on;  
& N! s( Q0 h- V& kModSecurityConfig modsecurity.conf;
$ c9 N9 L) \7 q7 x8 s1 b下面是两个示例配置，php虚拟主机：

server {
& a  y7 t! |  @! A& i      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
7 W, D2 H: e/ T5 r9 M7 ^) G      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
: _7 r* q0 Q/ e5 `
      root /web/wordpress;
      index index.php index.html index.htm;
0 |- b3 e) _' i5 a" |  
( |3 X/ c% J* O. C      fastcgi_pass   127.0.0.1:9000;
4 ~5 I2 W/ |# \  y" ^/ R5 J      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
: H: T3 l* j! t* U/ @1 C% S7 `2 V, Uupstream负载均衡：

6 X7 Z2 p1 R) Cupstream 52os.net {
( Z# b4 y1 g4 @: l    server 192.168.1.100:8080;
6 |' x; s, |: X0 E* `/ l% T    server 192.168.1.101:8080 backup;
; u5 Z/ O! I' [5 X}
! n1 r5 C( Y, l: `/ P+ C" q; W
server {
6 o0 ~& `( u5 O1 @- `listen 80;
server_name 52os.net www.52os.net;
8 y3 |5 [: o  J# K) U+ z* T6 P
" S4 L. ?* ^! ?- D3 {# Z- _5 i1 Clocation / {
; }# X' n% ?+ M) m% Q6 j    ModSecurityEnabled on;  
7 j# f1 D5 [: h: I4 x/ q. j    ModSecurityConfig modsecurity.conf;  
4 o6 ^% Q0 X* |5 Y4 j8 e5 D
3 S* B- L5 u  o2 i" H        proxy_pass http://online;
' b- S# D1 s2 k3 m" C        proxy_redirect         off;
3 L) ?# p. y& V+ |        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
8 I3 O$ L$ C) Y        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
( K7 }6 }! q6 L: e" v六.测试
! V: I' ]+ n# ?" E: Q
# r! }! r4 X' x. }7 I/ g我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
/ K8 A/ n' R; ~' B) d
' O" P* I! W% Q# ~<?php
    phpinfo();   
( A4 W# o' e  w( b6 T( C?>
; _. j% D, \; [在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
: n* h0 T- v: i* dhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错
8 x( K5 D1 E. \$ }9 P) M2 ^
% j* v# A2 I9 W1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
7 t5 A! R# e) K# r  Cconfigure: error: couldn't find APXS
. K! K: }6 J3 k) Aapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
# L( J8 l8 Q# t; y) G  K解决方法：

1 c# O$ W( M7 p. jyum install httpd-devel
2.没有pcre

% V: O, I) T7 Y1 yconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

9 I5 p+ X! U* V: \3 n1 zyum install pcre pcre-devel
$ G0 K* X/ t) [" i3.没有libxml2


3 y4 k& b4 _1 h, h; tconfigure: *** xml library not found.
4 s: S, C; r0 A% _" S; uconfigure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
' c2 Z+ K8 d0 z: A' y# i4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
- w9 z. N& r+ r) `; [0 C2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
) O6 |* X' W! }5 S& A2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
% e' V& G+ ]4 d9 ?7 X解决方法，移除低版本的APR (1.3.9)
' s2 ], ?9 ^# X
% c6 |" G  o5 C: K6 vyum remove apr
) T, _9 a  B9 K) g% z- W5 ~5.Error.log中有: Audit log: Failed to lock global mutex
5 W5 u3 x5 u( X
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
% e' g7 k& j) y( y* z7 Q) H编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
7 T- B8 {* g# F# R& O# R8 v' h
6 a8 A3 r6 \$ ?- P6 w1 LSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
% X! `, R1 \$ d+ f+ G1 q; k; V. ]SecAuditLogType Concurrent
+ v4 `, ^3 c( U$ i参考文章：
$ V) V) m+ g5 ]& ^% Yhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
' f5 X. a# j' f4 F# e+ c/ L& {! jhttp://drops.wooyun.org/tips/2614