nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
& U4 r4 h5 ?: l3 [1 G( x! e
' Q/ f) i6 s1 o/ b* p1 e+ E: \系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
3 s; b) D' c* q  v
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
5 D- A& X0 V* k8 o4 i; E
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
+ \; A3 I+ H. h  n
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
: u' _& z* r" v& K6 b
3 M4 H; E( p9 E+ b2 z  O$ `依赖关系：
8 ?# L% s2 C* N  o  Y1 T6 Wtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
' L3 o1 z0 D% Z6 X8 ~6 W
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
: |5 }- k$ L- p& U2 S. d2 k! j( ]二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

, H0 }8 }9 K* o$ r, _/ C# ?./autogen.sh
" D0 _2 X& X) P( y0 T/ ?./configure --enable-standalone-module --disable-mlogc
7 X! T2 C* E( b# G: ?, X, Y8 Imake
5 A  f9 q, d% _8 k- |三.nginx添加modsecurity模块

2 e6 O" M. \! S9 w在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
6 X( x! o3 H' g
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
& X$ p" k, ^& F' g# ^, Y! w& X8 P2 t/ J, Omake && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
) Z, `9 ?& Q9 X
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
$ F1 d. \) V" ]* J8 h0 L" D
' a1 ^/ i3 P- _9 P* G3 pmv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
" [/ g- q! z) }' [# @2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

5 g! ~1 Z. T* u0 y! j: p% }: {编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
: i8 l( E7 [/ h+ K5 Y* I  S, |
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

7 o- N4 C' D$ K5 \+ u- `Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
: @# O) \5 }2 ~, z) M% t; MInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
1 g$ _' `/ w, d: g: M9 S5 j' uInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
  a: ~! s! Y. d- {- P五.配置nginx
8 i+ h4 L9 u% G( t5 A8 {
在需要启用modsecurity的主机的location下面加入下面两行即可：

; o3 R# x# K* V. @8 g3 lModSecurityEnabled on;  
% H0 D5 q& ]; \/ x6 bModSecurityConfig modsecurity.conf;
; c/ F' |  f3 G4 H' |下面是两个示例配置，php虚拟主机：
  s6 ?  [8 a/ X& ?( m. R
+ @: G; w; v  m& d- @" ?: _server {
      listen      80;
      server_name 52os.net www.52os.net;
     
/ f0 r9 g; t; x1 y      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
7 ?/ {9 P5 Z6 J( X; d2 n
      root /web/wordpress;
      index index.php index.html index.htm;
5 Y: `% p. e8 ^! X# t  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
8 }1 Y8 V3 n5 N- P! C2 d      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
" w) d! Q$ D+ `# g& F/ O3 C      include        fastcgi_params;
      }
" @* w) o( e* e7 t7 M, d* C  }
upstream负载均衡：
$ t0 ?$ y! N9 B9 s: m4 ?
! u/ @- Z" j2 @6 Zupstream 52os.net {
    server 192.168.1.100:8080;
) r( U# S2 U5 z5 p; e) J' s2 I" N    server 192.168.1.101:8080 backup;
7 \7 t7 J" Q  z8 j* T/ O  [2 V}

/ g5 z) Q* K! {3 yserver {
) d$ P+ l! ?/ h5 o, _listen 80;
& {6 t, E( V" a: V/ ^% ?* J. Yserver_name 52os.net www.52os.net;

2 Y3 L  h9 b$ X% O- g9 e$ tlocation / {
    ModSecurityEnabled on;  
* }6 I8 B/ Q: Z! A) \    ModSecurityConfig modsecurity.conf;  
) L7 G2 r9 B& s* P$ k1 d% g0 e+ _
, e$ \! }# v. N5 f        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
5 h+ `1 Q. w, O# W8 P% h    }
}
- g8 `) U2 O6 T9 M* `& M六.测试
; {7 Q, _% B; {# e
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
) C: b- w# b: k0 G# \?>
. u( [* }: m: X6 k在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
6 v; a8 \0 M0 v说明sql注入和xss已经被过滤了

2 N8 V5 Q& s/ l; q5 S+ D9 i, ]# t1 ]七、安装过程中排错

% W! t9 m! b; T* M% `1.缺少APXS会报错
( E4 y0 W% I* a7 x: |. R
3 B' @3 U+ ^9 v, U; fconfigure: looking for Apache module support via DSO through APXS
6 C! E2 w. c6 d" ?configure: error: couldn't find APXS
! N) F0 e+ V3 Tapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：

: X) s) c! P0 `9 jyum install httpd-devel
2.没有pcre
* b# G' J' Y" e, o* I  Y& M) W; x
& j' M; T$ m) D8 |1 V( n! Zconfigure: *** pcre library not found.
! c. j) C' J9 @* ?- ~configure: error: pcre library is required
! J+ P9 B) v  L0 P5 d, }解决方法：

+ a" E4 _6 Z0 {+ ?4 t4 jyum install pcre pcre-devel
. k' ^  T1 ?$ g, i3.没有libxml2
, ~% M  h6 n' u$ l8 j8 c3 e, F

$ Z0 N2 m6 s2 o4 {9 m- i  ^. Lconfigure: *** xml library not found.
5 R  T6 N% m5 i0 n+ B3 Xconfigure: error: libxml2 is required
) F0 ~( x/ q8 N7 }5 H: B1 Z5 e$ x3 w$ R解决方法：

yum install  libxml2 libxml2-devel
, ]" D- g( G* }+ W& \4.执行 /opt/tengine/sbin/nginx -m 时有警告
6 S0 N$ [! F9 ^2 H9 K$ N1 U
7 k! F" L% y) D- [( j; K4 dTengine version: Tengine/2.1.0 (nginx/1.6.2)
8 e3 Y$ Q) J, r6 snginx: [warn] ModSecurity: Loaded APR do not match with compiled!
* b& N! K9 Z" c) V6 c7 t# b原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
& W0 t1 B# U+ [' W; w8 H
. A# @1 J2 n) @. L( G) {2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
+ z) M4 O* j2 `- i3 q2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
4 P# I/ f! W+ F2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
6 h( M+ F" I# C- B解决方法，移除低版本的APR (1.3.9)
* M3 ?, T' A7 q; v; j0 H
& J4 B; S6 @9 C$ dyum remove apr
* e0 p8 I8 ]- U5 h, Z0 |9 ~8 i. V5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
. ], y1 k8 p& m+ [1 U" \7 Q3 j; |- {编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
0 v  b& g" i; S% j* b9 Q! @SecAuditLogStorageDir /var/log/modsecurity
7 ?# g5 [  E# ?. n4 g, FSecAuditLogType Concurrent
* o% ~& \" w) e- L$ t参考文章：
, I1 ~* ]& o! Y8 X9 Bhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
' G" Z; {9 M9 X4 d$ s0 W8 whttp://drops.wooyun.org/tips/2614