nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
" a7 X) N+ ]; q5 s, o
一.准备工作

9 j/ e9 L, X1 i; X7 g; O系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
7 z" M, V  X* ^. B7 ]5 ~
  u, M/ g- f/ s, @tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
; |6 b6 w9 A$ Y3 n& ]! Y
3 t7 K9 K1 O" ^- ^modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

" |3 N4 C- z* l5 |( W5 N) I# O依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
( r2 M) Q; P; F" Omodsecurty依赖的包：pcre httpd-devel libxml2 apr

, o! f* C# @  @' B( T( l' O0 Myum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
: R- G  i" c4 g; `! q3 p./configure --enable-standalone-module --disable-mlogc
" r7 R$ k7 T0 T; j" ~make
三.nginx添加modsecurity模块
, }1 ?+ |( x/ S7 `$ A4 A# z1 [
, Y0 o( S: y1 f% _! a在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

1 V# T' z+ H  N) O$ U$ c./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
9 \) L( \: M. @四.添加规则
+ y$ Z) A# O: M; t
0 G- V$ j( ?$ R  T% G) T/ ?modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

$ {5 a. ]' O) M" v; }git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
6 D. f$ C1 d" R" M
mv owasp-modsecurity-crs /opt/tengine/conf/
  j4 L( W+ o) G4 g" ~1 p+ p! ~
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
7 `* s# A7 P; n7 S$ g
1 {: z6 m' p+ Z- q- w$ i复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
: ^6 @9 \3 D0 t& ]' g
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
% D% {/ k& p) `  ]9 ^, Q5 JInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
4 Z. p1 g1 b" r# F4 _3 {! c五.配置nginx
, Y* x% `. E' U/ h3 G( c8 c6 T
, R' A: k) @) N/ ?2 ^: I4 E在需要启用modsecurity的主机的location下面加入下面两行即可：
7 l& {, G3 y3 S( Z7 e- ^* P) W- N3 V
ModSecurityEnabled on;  
* F9 w9 o; n7 V+ Y2 H8 G' A* b. ]ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
2 X7 H8 ?8 u5 n& J4 X/ P% m" |      listen      80;
  s6 a8 D. V$ K/ c* D6 V      server_name 52os.net www.52os.net;
6 s* f; \0 {7 m- m6 L     
7 O2 l# z8 O  C3 _      location ~ \.php$ {
      ModSecurityEnabled on;  
7 M+ q* b- ^; N7 R+ j8 z) Y( u      ModSecurityConfig modsecurity.conf;
$ ?  M' ]3 @5 d1 r5 C( ?0 a7 j
) @6 Q5 g9 N" P" N' B8 S      root /web/wordpress;
      index index.php index.html index.htm;
  
1 d+ e8 b& S1 z5 R9 y' l" B$ |  w      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
% K3 C: l* v; M6 F. r+ R3 L; H( G      include        fastcgi_params;
      }
0 Z9 u6 [: y  v: t# E/ G  }
3 s  T5 N4 {; @- A1 C; \4 }' Gupstream负载均衡：

9 L) d$ |- H9 {: }$ z! gupstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

server {
listen 80;
1 k, \( D" `1 \" v1 I4 gserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
4 H. J/ s$ u5 g1 d) \    ModSecurityConfig modsecurity.conf;  

" X0 V$ k  S( W+ _( L& T5 b- ~        proxy_pass http://online;
, c4 i" ]' f. C        proxy_redirect         off;
# I5 @% H9 j/ M, O" j5 d( s$ m        proxy_set_header Host $host;
4 e. t& I* D1 ]7 [( b$ i        proxy_set_header X-Real-IP $remote_addr;
, K/ B' p. g' b# q- n9 _        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
+ W4 j$ _/ V% Q0 K& j, m. u    }
}
8 u" V2 c' J+ h* V7 L. k" `六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
: }6 a6 \8 i. T3 x+ d1 Y- u: h+ n9 o* ?
0 d* g; r+ z5 w" [; |<?php
& N+ D. S+ R. d9 k  ?* b% d4 s    phpinfo();   
?>
* j! {( V4 F# G, ?在浏览器中访问：
$ `( z0 ]$ ~& w) J
http://www.52os.net/phpinfo.php?id=1 正常显示。
  Y) x& a! C$ ~, w3 E' ihttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
( [# p: k& n: V7 j% [http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
1 [1 k' P: P% P  \9 J1 T9 A! n说明sql注入和xss已经被过滤了
: U& z+ T+ m. b. y# V6 z
  m: `+ i% B$ r" K6 r七、安装过程中排错

* N$ H1 o9 A0 A+ c! @, A2 B/ h1.缺少APXS会报错

) T" @8 d# c( U! jconfigure: looking for Apache module support via DSO through APXS
2 W+ \2 _( n) |, Econfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
) \9 e4 i0 S; H7 `  |解决方法：
' W5 j2 ^! v3 N
- S( i7 {+ @& cyum install httpd-devel
! H0 O2 ^) M7 H2.没有pcre

' }( m! A3 {, r& z$ d0 T; Lconfigure: *** pcre library not found.
) Q! L, V+ {2 R. B# B2 t9 Bconfigure: error: pcre library is required
# ?4 A8 N( |! D) l% k3 X解决方法：
: c0 a6 {+ j, Q7 ^9 L# x
yum install pcre pcre-devel
3.没有libxml2
' B* a+ _9 K$ c

4 @" |/ Q$ J$ j6 {- h) \configure: *** xml library not found.
$ I' Y/ e4 c9 r" U! }# v* Sconfigure: error: libxml2 is required
) H4 Z% M4 x( D0 ~" q! e4 G3 h解决方法：

+ r3 @' W! h: C6 a% a3 myum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
# J9 p" ^: K' w, P8 ?/ _4 N& x
# I# \$ ?/ k% p0 L- ETengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
2 A3 Z! m/ Z8 R- q* d原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
, E3 l: r1 O/ T1 Y1 N# L8 U2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
) B# Q5 _+ O8 s- S1 tglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
  J8 Y# C( I  U; S; b8 `4 O) _解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
: p  \+ S1 n, H- m# {
SecAuditLogDirMode 0777
. z1 L: C7 Z3 U, X# ySecAuditLogFileMode 0550
3 R$ q/ ]2 @( M- ]! A$ L  l) b' SSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
; f" Q4 G! N* v参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614