nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

/ Y2 `3 b( V5 T3 p' A一.准备工作
  B, _9 d3 \  l' Q3 ?6 j) I) X
, r2 v6 @9 _9 V+ d- Y: F系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
/ l/ a! x  U1 z/ V, m( k3 G) Y
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

6 Z) G9 @4 ?) I/ F" |5 f+ f: t; m" `modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
# \  P7 g# u2 s7 r, T5 X
4 g# S* r& M8 K7 ^OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

4 D. N# X. `$ I+ W5 V5 Y依赖关系：
; v% C/ Z) q; q6 }tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
, ?1 _, ?, O' |- e  {
! {8 a/ E7 x- |% e3 @6 H; @6 \yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
# }+ l3 X. O- H) G: V/ x3 N" S
3 S3 u& ?( j" u! J( R9 B下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
: j5 g' _2 E$ ]5 ^4 F: Z. @./configure --enable-standalone-module --disable-mlogc
! r& y% w. }4 [% x2 L+ _/ Q9 Smake
8 Y: t7 }" @$ F' i$ W) H$ Y三.nginx添加modsecurity模块
. W9 v* x" W& `3 g
0 |/ G4 a! M5 i; P' S在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

# @5 \3 ^/ ^+ J/ x./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

  z2 A* n2 Z6 v! d' k$ _! jmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
9 n2 U# Y9 V" s
1.下载OWASP规则：
; }+ i6 x: n" _+ O3 M- r5 V1 j
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

; n7 W$ G+ O2 M$ I- U& T6 rcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
/ |9 _. m, ]) B4 O) k  m) K- R2.启用OWASP规则：
9 C8 N) q; e/ z% S
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

+ G7 l& H/ Y& Y; L  V# cInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
2 ?% a4 F: m5 WInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
2 |4 T5 x) [( N8 ]! K9 W五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
" r/ w5 o- R, s
, m) r+ ~: Y4 H8 a! `7 N2 jModSecurityEnabled on;  
6 \. k: |" T* W, P' vModSecurityConfig modsecurity.conf;
+ f# n. l/ S: u( {$ }5 H9 p下面是两个示例配置，php虚拟主机：

server {
3 [" U; d- C; D      listen      80;
      server_name 52os.net www.52os.net;
* m  C1 g7 P, D$ U8 k/ z8 w8 Q) v     
4 j7 D0 k9 z8 Q      location ~ \.php$ {
+ N( A6 i* Z5 j! p3 o      ModSecurityEnabled on;  
! r  C% a/ {1 m# ^' h. u      ModSecurityConfig modsecurity.conf;
: ^* m2 @+ F3 U; i3 x
      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
5 d& T/ b3 f1 ^9 T  H' C      fastcgi_index  index.php;
' [! @) S/ a& s, Q      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
4 f# b5 |: N$ }# Q, X      }
0 d& X/ a  ~2 W) v$ b  }
4 o+ ?1 O; Y: Lupstream负载均衡：
$ O; q- L- t6 m
8 A/ K) i2 R9 v+ Q; J9 Z0 cupstream 52os.net {
3 h* N& l6 O+ L) x9 `# @& Z    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
3 W; r: ]# L2 W" [# v- f}
  L/ R( k# z% z' m3 T
& K7 {: S3 h$ Q7 Pserver {
listen 80;
- y& V5 M( Q( P% x" A+ \& {server_name 52os.net www.52os.net;

location / {
) @! f( l4 Z. R, ~* L    ModSecurityEnabled on;  
2 I2 F. b. Q( t2 Z    ModSecurityConfig modsecurity.conf;  
# ?; Z1 p# P, Q/ h
        proxy_pass http://online;
9 B1 I3 D' b; K. G0 L4 M        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
* p; R! W( r! a8 h六.测试

, o( S/ c, l; O* X我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
% i& S; x* A" W  S0 s    phpinfo();   
?>
在浏览器中访问：
( Q' W5 @0 @5 R  _4 t
# Z' H4 o' y. O) whttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
$ f# \8 F4 q7 Z$ N
$ K0 g8 H2 R, ]" N- M6 t七、安装过程中排错
  p, ]9 x1 `" r6 N
; y( t. ^6 s# D3 J1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
  C4 P3 @' V0 yapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

$ E7 l- k. ~! j! [" u: pyum install httpd-devel
9 V5 J. r! `& M$ U* {2.没有pcre
! h1 I* u( q: ]/ A) V
) S3 V/ O5 S, j+ bconfigure: *** pcre library not found.
2 @) @3 m/ d# O  {* l7 Cconfigure: error: pcre library is required
! P9 I$ F0 O2 i* ]9 e) M, K/ a解决方法：
/ z  E! `4 G3 @" m5 F
yum install pcre pcre-devel
+ H9 V3 i2 S+ g: z7 ~1 I3.没有libxml2


: B) O2 ~9 X8 x4 S* `2 xconfigure: *** xml library not found.
4 d/ [3 u: h/ Q4 l: Econfigure: error: libxml2 is required
! {# x" |5 `$ p5 S: d6 G  o解决方法：

7 z; R& c( ~7 Z4 J% Eyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

4 q' Z  y7 S. ~& M) F1 |, BTengine version: Tengine/2.1.0 (nginx/1.6.2)
( o2 l9 u7 x3 F* u. _5 G" N0 w  Lnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

# \, [7 K& d6 L2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
/ i2 A8 Q  P9 x; j  W8 _2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
" g* @3 _" v5 i2 X5 S2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
: r9 m4 f& @3 g: k: D0 Y0 n' `2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
. l, ^0 z& X" c  U! T
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

' p6 a1 v# C5 G, ]: a; k- c. u2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
$ F" J+ g  B/ ?# ~" c6 g  _' E解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

8 o" G# Q) e! J' S7 A5 b& pSecAuditLogDirMode 0777
) ~+ V3 O" [# b( Y6 k, NSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
: O( U1 N( L3 @5 C- E$ ^; ]0 Vhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
# {% ]5 j" r  ^) {7 w1 w* Uhttp://drops.wooyun.org/tips/2614