nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
! o4 d7 V  {  |7 y3 w
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
( A4 o* i5 B4 }
  w: G/ f3 Z4 S8 A2 H, ?7 Wmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
* h4 k% f+ p5 g5 z8 w; c: ]
9 }+ W0 E& z7 f% t; A8 Q: y% rOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
6 |8 }+ \4 ~. L# qtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
9 k5 n2 Q! Y+ d( x# omodsecurty依赖的包：pcre httpd-devel libxml2 apr

6 |) l' X5 \' Eyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
8 C" x7 L2 I  r二.启用standalone模块并编译
; {0 Y; j2 F9 j
下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
5 u9 b3 R5 j. a# J% Q) J三.nginx添加modsecurity模块
: W* v. Y6 h: u# f' [* j# W
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
6 E( ^5 B) r" m% w* k, c! ?
./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
7 x( W8 V0 i+ M5 x( H" e1 @make && make install
四.添加规则
  y' y, t4 F. v3 m! P' ~5 y6 I
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
' E- M5 T; q. S. q
/ }( Q5 H% Y$ w, {' Z6 l. n' Omv owasp-modsecurity-crs /opt/tengine/conf/
1 j9 Y/ i+ [" W! P" Q. e9 F
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
2 u7 i& m, T6 H8 I, W
; L2 c# G& c, o* m' `复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

7 ~  e# W" C. D" p3 L1 [6 V, _7 o编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

, c& J$ J+ U) X7 w7 g8 O' |  NInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
( c! [( {  s2 M' g# J9 `9 M& h% pInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
/ l7 Q0 D0 K' B( H; zInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
4 p% H" |7 i1 xInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
* ~. E9 q8 s  q- S0 V( J
在需要启用modsecurity的主机的location下面加入下面两行即可：

1 N+ d; ?9 V. k  wModSecurityEnabled on;  
% m8 B& @6 j+ kModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

/ m, G4 r- {" N/ i; zserver {
      listen      80;
, h. S* @! |. h) Z      server_name 52os.net www.52os.net;
     
2 g* r' d! F/ d0 O( [      location ~ \.php$ {
: z" }- e, u$ @' W4 {      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
; B, W& \3 j1 w
& g6 ^: s, Q9 D( b0 Y$ J7 u  S      root /web/wordpress;
& X7 G8 }2 `9 e! _3 R0 [5 \0 j      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
3 `+ T; [, V" Q" v" v* w$ o: T      fastcgi_index  index.php;
  v2 ]" c0 f% p* j- f      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
& I; a# a% G; L! u% ], @      }
  }
upstream负载均衡：

upstream 52os.net {
& W, @7 b, Y5 X: y0 D3 ?    server 192.168.1.100:8080;
) ]# A, q  H5 P) k, x  g% Q    server 192.168.1.101:8080 backup;
9 ?: R+ g& l. j8 [5 t/ X}

server {
1 O1 a( S- z1 A% r. }: ulisten 80;
server_name 52os.net www.52os.net;
) z% O2 x) m8 S- z' c0 `+ B$ Y- S
location / {
5 i8 i4 _0 y  n( Z7 R6 [- F    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
7 S8 S$ l/ x8 O  M- j        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
! ~- f+ r9 I4 p0 _6 N/ S6 ^( m2 ?        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

7 c. Q# T7 w' j. r6 W<?php
    phpinfo();   
, C+ a0 x. ]' s' G( w+ W1 z?>
在浏览器中访问：
) [+ z( R+ I3 X
* R2 P$ K+ }/ e: n, ^5 Nhttp://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
5 \' I* }9 d; ~http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错

- r; p" X. E5 n/ N1.缺少APXS会报错
0 n5 ^# }: v8 z9 s& \
* d$ q$ H7 N. Xconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
- ^+ r1 s0 Q; p1 Wapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
) ]7 T7 u8 \& L. R2 b解决方法：
+ a: M! ?1 ^$ u1 k$ |% u) s
yum install httpd-devel
2.没有pcre
. J3 h7 E( J6 t) f" g
configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

+ d1 \, p+ C* G' Qyum install pcre pcre-devel
5 E, i. h. C& E6 U) {: b& o3.没有libxml2

" B% r% ]0 o, C
configure: *** xml library not found.
; l: X8 l) ~8 }/ [1 ~5 Fconfigure: error: libxml2 is required
解决方法：

# ~& b" u0 b' }- t- O- gyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
3 K; H- v! C. w5 A* _6 d- f+ Q/ Y
$ i& P2 r! t- B  l, q' OTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
5 O: Y5 s  y9 K( S% t1 B& A5 v8 I原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

, \8 j( h- M, [: _) c2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
0 ^" [8 D; W& s2 i& x2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
3 h4 j+ ^- m3 a. N2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
6 A( N( k& I- h- T/ p解决方法，移除低版本的APR (1.3.9)
& T, Q# n' c0 H, j) q
/ Z' n2 E  b5 Z: _: M3 U" y& {yum remove apr
2 y7 t( h* l$ _  f" e5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
( A$ k& t5 @3 o4 K/ h4 x+ XSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
5 @* B/ t- E) S% y7 M5 R3 l参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614