nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
, s# V% G( f  p: {0 \, C
一.准备工作
- E( K# a# o5 G: U2 d) J4 L& J9 O  b: y
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
! F, }1 T/ d/ U; L+ b4 q8 E
" f4 R, i6 W" }* l4 Y4 atengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
4 ~) a% v2 B, t7 p9 I8 x, W
6 g1 O& c& W. E1 @8 q1 O0 amodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
, g) h1 A5 B2 [2 |5 `9 K' M9 p: K# G
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
9 T5 [! e$ T$ C4 H
' @; p) S6 q- p5 Q1 p' ?1 [依赖关系：
# Y  w6 N' M! m; \tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
% z, x4 P# \/ |4 e: y
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
- i1 y2 o$ n+ Fmodsecurty依赖的包：pcre httpd-devel libxml2 apr
' M+ G( C0 z$ g; p  a) b
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
# U  Q6 B0 s- f7 t$ k/ ^
下载modsecurity for nginx 解压，进入解压后目录执行：

" u: Y; C0 [" }* m& F" \2 z! `, w& a./autogen.sh
( w1 d, B/ O' x  o* N# |, A; T./configure --enable-standalone-module --disable-mlogc
% A* s0 S9 s) h; Kmake
三.nginx添加modsecurity模块
1 }/ T) F0 A% k2 D9 c
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
! s7 C0 r6 D) \' |# Amake && make install
四.添加规则

modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
+ G0 i- z5 J" }- U' a
2 K' F( h+ B! }5 }; F0 M- [1 I1.下载OWASP规则：
' A7 ^# T6 Z1 g5 C2 E8 ?- @
9 e2 r9 B- s  b7 ^git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

' E  y: W  j8 _" ~复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
# u" i& v6 b+ q" q* p
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

6 [6 X. _5 B' j' U1 W0 s3 W6 {owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
# v! W+ i6 R7 [. _3 n. J, lInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
6 ?+ s( J! `& g0 S9 b- s3 F! r& KInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
. \5 e1 N  o2 ~Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
5 D& e  S, f& ~0 zInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
3 ^- n& g1 X. y五.配置nginx

) G, G6 e/ ^- G+ _在需要启用modsecurity的主机的location下面加入下面两行即可：
, r1 Q) }- G& D3 \- {6 \4 x
6 \. A: I; G3 B; Z8 k, m* U1 H3 hModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
7 E' X& c/ u6 W      listen      80;
$ P/ g6 l! T7 \, B      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
/ A7 ]" k, K3 z      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
: R+ E5 s9 c0 B0 L8 O1 n
' R5 ?+ B+ i4 [3 p      root /web/wordpress;
# \* {+ U) Z3 T      index index.php index.html index.htm;
: Z0 U' T: d- G; k+ Z# ^  
$ K! x" M8 l1 T' ]6 [1 t& q      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
+ z, @( L5 Y- {# M      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
      }
  }
* b9 e7 [& A) E0 f0 ]+ Nupstream负载均衡：

upstream 52os.net {
/ Q& k8 C: H& v    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

1 x- _. I# |3 d2 t4 V5 E, v9 U$ vserver {
- l+ c; ]5 B- ?# r2 q3 ]! P# Clisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
" F1 n" _! Z1 y* L4 l/ k    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
0 v. ~& V& I0 ?- f% x        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
8 c' X& \) c, C$ Q    }
3 f8 b2 ]) t( l6 x, ^}
7 \4 L4 d& W0 n' H# P" F9 o1 Q7 Z六.测试
' K5 P3 s9 \$ _: y% P5 M; R( R
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
在浏览器中访问：

& h/ P( f8 H$ O$ e* `http://www.52os.net/phpinfo.php?id=1 正常显示。
: E7 J! H0 {& v1 X+ R9 {5 g. Whttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
+ A. Q  m0 A& n; M) S0 }说明sql注入和xss已经被过滤了
0 R  r( @' w% q+ ^! W* }
七、安装过程中排错
# Q: `2 I6 w6 z3 o9 }" p
6 _6 x; Y0 @. {3 D$ [1.缺少APXS会报错

* ?8 b* C9 H2 G( U' z# Rconfigure: looking for Apache module support via DSO through APXS
/ [% M2 N( K) `' e8 y) ~) cconfigure: error: couldn't find APXS
# E- L$ K7 J$ U% Aapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
: p4 H* t# s+ }% [- x' ^1 F解决方法：
$ s. h$ i' c  G
' ?0 s% Y5 p' s- D6 T( ?yum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
6 F5 y% k! `; e, I9 {- Nconfigure: error: pcre library is required
解决方法：
4 @' e5 q3 }( j6 F% W
7 D' N" G5 m% U: S9 e0 y! U2 B1 gyum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
/ q- h3 e& l; H" _# Q7 sconfigure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
! X6 t* R4 b- L& H# F# |" M7 p
3 F2 K4 H* U4 J( w2 qTengine version: Tengine/2.1.0 (nginx/1.6.2)
: Z8 [1 [9 C  `) E  hnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
9 G* G$ O4 e$ a- W' e; s5 y, D" P原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
- j/ J2 p; P! [9 |  c
, z8 ?3 O. k5 z2 E+ D0 L% N( u/ M2 j2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
- Q% h  m+ p/ N5 _+ R6 e, h2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
: c; `3 M& W; p6 [2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
! s0 o0 O9 U( U# {& A1 s9 ~2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
8 Q: j( c+ S5 o+ D+ k解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
1 o, W* R  @4 ?  o. T' V- m2 b# `
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
. [5 D6 y/ t6 S% u* ?" D9 I解决方法：
% R/ R9 ~$ ]9 I编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
$ y  y, G# Q: }: I; H: r( q: VSecAuditLogFileMode 0550
* L  F; y3 U, ?SecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
0 c8 W) u" P/ @" x& n6 P, |参考文章：
, G) o9 Q; z6 f6 phttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614