nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
! r6 {& i  a3 E
一.准备工作
' |: R* _. o; @& z/ f1 Y
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
) Q: p2 T- p" m0 i) I/ \+ Q( {
# Y' U0 }- N* n" etengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
; Y! Y1 F: G! ]% H' [
5 ?/ W: k0 Q+ V9 X8 ^5 q) }依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
" v  o# w1 B( b1 U
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
/ ?; Z$ w& d! R" j/ Z$ _7 U- U" nmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
6 o6 U( b7 F0 h' R% p二.启用standalone模块并编译
2 S" _$ C/ {. w1 u7 J6 A& [5 q6 K
0 X  ]. N$ M  b( X7 w下载modsecurity for nginx 解压，进入解压后目录执行：

5 E3 ]4 ]7 V" H./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
' A4 _& g: s0 Q; n% T; V( ]
1 v7 ^1 t$ ~1 ?) {, ^在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
2 t, Q; \& W- a+ f. j; n/ |
! i! v. |; [' M- ~9 }; Y./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
3 L/ Y, |( O' V' p3 `9 K8 F
! ?" ]- e) U. @' F' I0 Xmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
  D5 s  ^8 y% ^! k
1.下载OWASP规则：
5 H! l  _8 R0 R/ y' @
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
) R& O2 x; \# [9 R. C; ~- {' E
mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2 B' a2 Q  Z0 D) M2.启用OWASP规则：

; o/ b) n( ]$ W' F/ V复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

6 d) A1 _3 V( V& m: E# ]5 k; I! `编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
" f( N# T9 @- Q
# N, G; R& S, Y) V3 A8 g1 z6 Iowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

( Q( X' K$ ?9 l) JInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
6 a. T: R7 T+ ]- F, U! {Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
7 ~7 I9 R- D# U" e/ Z$ f# LInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
0 Z% i, [% T, P6 e! UInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
7 w( T1 s* e6 ]0 ~9 zInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
6 _7 S2 R  q" K, \' t" zInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
" i: S3 B0 l  @% D( D五.配置nginx
  I/ O! b3 |& n7 x: \" ]' K
在需要启用modsecurity的主机的location下面加入下面两行即可：
; ]3 O  Y% p, |# I
ModSecurityEnabled on;  
2 M; B9 w& p& b8 _; G$ A0 VModSecurityConfig modsecurity.conf;
+ P( W, O7 ]3 p下面是两个示例配置，php虚拟主机：

8 ?) B% p  T" K8 O& Xserver {
& q3 d% J. [+ L, m      listen      80;
: T; W) p# K+ J! x8 w$ Q7 ~3 D7 C& D      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
0 H/ J0 Q* ~8 x6 Q. M( f+ p$ K      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

+ l% e9 j7 c  ?      root /web/wordpress;
      index index.php index.html index.htm;
2 }" i" G. J$ S; B/ M. A( R  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
. ~* s7 |" ~: L      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
upstream负载均衡：

- g+ |& _4 p, }1 Y5 Hupstream 52os.net {
8 h& ?1 O7 G- n' ?+ T: Z+ [7 x    server 192.168.1.100:8080;
- J- m! A; ?$ d- B  b% Q+ \& M3 d; l    server 192.168.1.101:8080 backup;
* u2 [. ~, E  C) Q6 I/ t4 D}
4 @; U3 K) b( X. U
server {
listen 80;
server_name 52os.net www.52os.net;
6 j% c- w1 b( ]' V
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
  C; {- n# k- e        proxy_redirect         off;
        proxy_set_header Host $host;
$ c3 F6 m0 {0 R/ H  U. }6 q3 X        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
8 v0 \8 f: K4 s9 g$ {    }
}
& s0 [" C5 n) t# L. S9 `$ _& l六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
3 `& `1 T6 B* D?>
在浏览器中访问：
( `" b: y- @& ~2 W5 P' i# q
http://www.52os.net/phpinfo.php?id=1 正常显示。
& B' J7 c0 h7 K1 ]! Q- a# K  Z7 j( Ohttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错
; H0 \  w3 t% C7 I
1.缺少APXS会报错
  O# {) X" P3 `  L
" l' g4 Y) l: q6 p4 uconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
$ `3 E' V+ M, `, ^& i, e解决方法：

yum install httpd-devel
0 w6 H0 V4 Y2 e2.没有pcre

configure: *** pcre library not found.
. e9 h, {4 d) Yconfigure: error: pcre library is required
解决方法：
* g1 W( O& \5 D/ H0 P/ a
4 \. U' G$ l. iyum install pcre pcre-devel
0 E) p& \9 a+ n. T2 l" B* L3.没有libxml2

3 [: j! H3 l! I; B; w9 j+ L3 U
. F9 V4 d" G! `9 E& o4 t6 D! a9 Tconfigure: *** xml library not found.
1 d+ L4 j' U/ E6 Pconfigure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
. C& j# Z, b/ }! O/ U4.执行 /opt/tengine/sbin/nginx -m 时有警告
; x$ [  t' N# @  I
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
$ r! I) ~1 C  p% [2 P2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
1 `/ w& I4 }1 o- d2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
# \+ j+ `- d) o' X0 {+ v5 Y6 d9 y) t3 @2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
  X% U9 M6 n! w5 Z: w7 v
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
% j, X: _9 L6 l. _: }$ Y1 K, KSecAuditLogStorageDir /var/log/modsecurity
2 W1 p+ }' N& k' ~4 Q, q( LSecAuditLogType Concurrent
3 F+ _7 Z) S& H# d参考文章：
' o6 ]( l" P) _& `# m9 a' f1 uhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
3 K3 ~( o$ s2 u; Z9 L4 hhttp://drops.wooyun.org/tips/2614