nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

6 F3 D2 i, o& `7 Q一.准备工作

系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

& {' P2 t" T: K: q# ]' F, G+ ctengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

3 J+ T5 @: E" mmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

- z! b$ n$ n6 A7 I" O2 cOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
2 k/ F) K4 |* }- z' d" {
' |- x7 ?; X5 `' W0 [8 L% J$ Z. t依赖关系：
# K& @+ J' c' {1 p, x2 `+ Ctengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

9 E. f1 I1 b0 P8 @/ Wyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
$ {- _: V/ g+ {- p: E& A" f二.启用standalone模块并编译
5 u; ~& V: d; A1 K& t( X. y: M
0 d  x( [; x  L# I$ M% y下载modsecurity for nginx 解压，进入解压后目录执行：
" _+ Q2 M0 k: Y$ k! C* e
: F2 k# O  J  T( l' }./autogen.sh
/ Y4 Z9 h9 c3 p./configure --enable-standalone-module --disable-mlogc
7 Z% g  d- o; f) A. j) W( Omake
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
% Q3 Y8 B  h8 |" L# Y
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

  R4 k2 N' ~% Y5 G9 Z9 lmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

7 t( ?5 `9 u6 ]* O% ~% S1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
, K% G- [6 g+ v+ M8 g! S8 E1 e8 h# x
! s* c6 \  b$ B; emv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
% b8 ]+ ?2 K2 w0 V/ L2.启用OWASP规则：
/ r( B3 w# m- i3 e
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
6 i! z% H  O) f9 }
) v: [& h& @$ Y编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
/ D. ~: ~# ?/ c+ k+ N
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
$ d6 \& p6 `3 y4 d+ b1 R
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
* t+ J" H4 q- _9 a9 X2 W$ L  g, iInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
7 L- z) f. L  h. O; y7 N8 b' EInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
/ e5 i, T* R  x9 f1 r5 l" v/ J9 qInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
9 r( y9 ?  {8 L  e6 ~8 H5 ?; cInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

( c6 u- b; [5 D$ i& Y在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
' {7 K  l, |5 }% Z& @3 [& Q7 B
; K5 U! ~* c/ e5 A" b3 O& bserver {
      listen      80;
      server_name 52os.net www.52os.net;
4 d. n, T7 X) x     
# m; W- r4 H7 C, h" }, ~/ {& d      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
0 K. h  o" a* p) w$ H8 o6 H
  Y/ X9 ?+ u+ m4 h$ A      root /web/wordpress;
      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
upstream负载均衡：

, L$ {9 ~# `. Iupstream 52os.net {
; q# |& x' H) Y* W+ g* I    server 192.168.1.100:8080;
. s- X& N$ o: M) [3 N+ @( x; u( A    server 192.168.1.101:8080 backup;
/ \! L; t* ^3 V  o0 C' N! J6 `}

server {
! ]3 [3 |$ @, b: v* F2 elisten 80;
' s  b, E+ Q, z- y* G4 eserver_name 52os.net www.52os.net;

location / {
0 Q* r# d: P7 Q    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

/ W. B# k9 P* `! F        proxy_pass http://online;
! w, o' {" b- [6 }& B& |        proxy_redirect         off;
% H! r# v0 i3 w! b, Q5 E8 z) I        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
) V  C) ^3 \" z5 Y        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试
! d4 n6 Y5 U( p1 \7 U& d' k! t
7 V& e. N! @# x8 ~我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
在浏览器中访问：

6 b+ d/ n4 u' g5 W4 B: ]http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
* H: P. r3 y' A0 Shttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
/ O- J; k6 Y7 D, g- E说明sql注入和xss已经被过滤了
& @& ^6 r% y' _+ }7 b" j% z; S
$ M! s' M- Q: [; C/ w- A七、安装过程中排错
) I% d% q6 \0 B0 r7 S# p# ~( F
) U2 b! Q" {: V8 g; X1.缺少APXS会报错
9 Q. U: N& }2 C7 }+ u
- ^+ ?9 Y$ {4 ]configure: looking for Apache module support via DSO through APXS
/ J/ w* P; T2 A" I  V- cconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
8 }7 g+ i( F9 @: h, L& }, Z解决方法：
  F2 {7 O" B4 P/ t
yum install httpd-devel
2.没有pcre

$ o! U7 [/ Y' d1 ^5 O4 U  O) Bconfigure: *** pcre library not found.
  {  Y' q' v8 Dconfigure: error: pcre library is required
" M$ `% t  x& h" k3 \% [+ p解决方法：

yum install pcre pcre-devel
3.没有libxml2
3 S. e- Y% ]) v' l% r8 R9 y; H
: |8 W/ ~$ h6 s" @6 ~4 V, r/ s
' N5 ?1 F7 o& h: c- h9 N$ m7 `$ Q5 [configure: *** xml library not found.
configure: error: libxml2 is required
2 c8 H: T' m- N1 n  b- l解决方法：

, `9 s7 `' e; a; [0 ~yum install  libxml2 libxml2-devel
/ m9 H3 N  O9 k4.执行 /opt/tengine/sbin/nginx -m 时有警告
: I/ {4 i1 g, e+ [! r/ I
) O+ Z2 x# c3 yTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
' q) O1 ]" T" p" B+ [1 T原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
" i2 ^$ ~8 G& P; D
/ k" G) d. a" U3 L) s2 ?5 \0 Z8 k2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
. A9 L8 b. \9 c. e8 \6 H2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
/ c/ F4 `2 V+ y# s" T
1 W! Z$ `. _1 t- a) a4 jyum remove apr
7 `# Z0 A! ]9 u* ^/ f# h- e* F5.Error.log中有: Audit log: Failed to lock global mutex
) ]4 Z1 n: ^. I% {5 R
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
. {: y; e9 S" h! mglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

5 E! f# p( v3 w) n4 g4 ySecAuditLogDirMode 0777
, E' X3 E1 {; f% t6 |SecAuditLogFileMode 0550
/ D/ b% |4 X7 ^SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
! B4 s  F% M( g+ P; a. |参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
, b7 S+ c: E0 N; }" ahttp://drops.wooyun.org/tips/2614