nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
8 l( F9 N$ a7 i% n
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
5 {2 M/ \( k1 \
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
7 Y* U" T- y1 y
8 V# p: h) Y+ C% [0 wOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
: p4 V4 C- J) h  ]8 m) V6 \
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
! U9 Z4 H2 F2 L; K
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
1 y; N; I" H- n. D
& P7 s: {; w8 W5 H7 R/ T6 A下载modsecurity for nginx 解压，进入解压后目录执行：
5 B. S, `. H9 p: X
7 V% Z8 k8 I. o- k- V./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
, T/ u( o0 Y" M" [* \
9 y- x5 F* F( R2 V% F在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

# s5 F1 g+ F$ V$ X9 F./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
4 H  U) b: _2 X四.添加规则
- G1 m! q! N# Y4 Q, z; l2 W
9 C: V! d1 p: imodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
; p) R5 X. B0 q  J
1.下载OWASP规则：

/ g0 v' J& o/ n# J; g/ E7 Ngit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
; [1 C& j' t6 e
mv owasp-modsecurity-crs /opt/tengine/conf/

1 ~" V7 V5 H; `cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
# g4 Q* Q- b9 O" }0 ?' }
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
' L; P$ ], n) s9 V' M' M. n/ u
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
1 g/ h, m5 \* g1 k7 @  l8 jInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
! ?7 O/ A* ^2 _/ [. jInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
; x* q, Y+ Q, u/ |, Y+ FInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
: J" d9 y, ?' R$ a% {7 f; V! c( m五.配置nginx
2 o4 B/ X! _6 \7 ^
# T8 V$ x6 K$ L, Z' V7 E) p在需要启用modsecurity的主机的location下面加入下面两行即可：

# j4 x/ T; g+ \% |+ O9 c* W1 x/ M8 @; BModSecurityEnabled on;  
7 a/ K+ X) P& t# pModSecurityConfig modsecurity.conf;
. X! s+ d6 e. b! x下面是两个示例配置，php虚拟主机：
- k$ D7 m, \4 S2 ~/ e
! Q, t. U; @+ c0 X4 nserver {
% I/ w* w, l5 r/ r      listen      80;
" W7 U5 [* @  d/ G" m  B      server_name 52os.net www.52os.net;
4 [6 Q( R/ I! {- H     
: q- ^& F& X5 O/ G      location ~ \.php$ {
! Z% |$ J$ t9 U! X+ a9 Q      ModSecurityEnabled on;  
6 W% ^* r9 s) J' G6 u1 K- m1 U      ModSecurityConfig modsecurity.conf;
6 Z7 h! k, v" r) i: J
, Z9 j6 a9 _$ l3 J      root /web/wordpress;
6 e/ t9 \0 i; [. L, }4 ?8 I      index index.php index.html index.htm;
  
8 _  V) E6 N# d9 m/ j5 |+ [$ j      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
+ G, h. z1 v" l" T3 t1 @' ]      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
7 B8 m0 X4 S  m) R9 W      include        fastcgi_params;
5 J, a3 F$ a2 P! l7 n+ e0 F& S" B      }
* E4 G6 x" j* M1 i  }
upstream负载均衡：
  C7 O# I; u8 G6 z8 c% T
+ M$ v/ l1 K) {! ]upstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}

3 P5 a9 ?: R2 k: V+ s" Zserver {
; }; T- F8 x: c  e# J& blisten 80;
server_name 52os.net www.52os.net;
0 ~7 ]- o9 L6 z) w* P; ^/ t
location / {
    ModSecurityEnabled on;  
# V0 h' n) O6 p8 T6 k    ModSecurityConfig modsecurity.conf;  
% Y9 O( C6 m% X0 i: X2 E7 I3 A$ V
        proxy_pass http://online;
/ V9 |- u1 P' a3 j% L& Y9 W        proxy_redirect         off;
& Y. q$ F) H; e7 x0 ?5 f; y1 ]        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
4 k( S1 h0 i& N5 ^        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
. M5 ~. G/ l- L% j6 _4 A$ B    }
}
3 O3 N" \. x7 c( p+ D六.测试
3 O9 |+ \: P5 u% D
" ]9 U4 Q8 w  A' j  e' k* m我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
) D& H5 V+ W5 `; R4 O8 {" c
<?php
    phpinfo();   
$ ?* F9 L7 E) [?>
( H% C6 f/ @1 c' f7 r/ P8 E在浏览器中访问：

# b3 d3 a- ?: w9 A3 a* {http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
2 S, z8 Q7 T$ f# y说明sql注入和xss已经被过滤了

6 v# M: B( ?) T* {0 ^七、安装过程中排错

, i; A. ?) d) @9 c: f1.缺少APXS会报错
, e0 x: O6 q$ N3 t  ]( t2 P
configure: looking for Apache module support via DSO through APXS
( m3 @' x& Z' _1 o3 O: sconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
- G% m5 e7 A8 O0 L0 H解决方法：
7 s$ @! q! f- [+ c/ _2 ^
yum install httpd-devel
& y5 V$ k  f8 L7 L7 E4 _# D9 J5 f2.没有pcre
! a! j6 }# d9 W
configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：
2 h  X, b+ v& g  V
, u5 m, m: a& E) g7 `yum install pcre pcre-devel
% f3 x/ G% s( q  Q' O- X3.没有libxml2

; Q, G1 T, w* u9 p" c
configure: *** xml library not found.
( R$ n. a/ U2 @+ C5 Yconfigure: error: libxml2 is required
3 B6 @* A9 C) g解决方法：
( P; g. n1 X1 t
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
! c* c4 }/ I& y: inginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
7 _" v# j0 ^. |$ W& G2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
* V4 @5 u+ D" P( y  N2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
$ z! t8 r7 r. H' i8 j' k2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

3 x* ?# l& n" ^- t$ y: B+ Q" g6 @yum remove apr
$ t9 f7 R$ x  v2 k5.Error.log中有: Audit log: Failed to lock global mutex

+ d6 _1 I$ S; H$ R2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
3 t) y! N; h4 ^9 uglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
" `$ q/ N( H& ~% o# T( F) q4 A
+ S2 x) @$ B; y; v4 M$ @SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
, r9 o& B) L; gSecAuditLogStorageDir /var/log/modsecurity
1 B3 _6 N0 L: A. j( Q6 s6 RSecAuditLogType Concurrent
+ s' f" G$ \' C% G参考文章：
3 Z$ Q' v, j- B% a0 Jhttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
" ~) C& r  ^, T8 k3 n2 Uhttp://drops.wooyun.org/tips/2614