nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

$ p! m- m4 P6 t, i3 X/ Q一.准备工作
# L/ C% _0 s; q6 {9 p. _
6 n! ]* S$ G" \( o系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

% M/ C1 `1 k5 E$ [( ~, \( M3 Ttengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
: N* L4 r7 Q+ Y  }0 Q5 z+ b
5 R( T3 @. P7 B2 l( m9 j$ Qmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

6 l, o9 J* [( h3 ~OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
; a0 r6 c: }' G0 U+ h
- _+ N" ?. p  M' x, L依赖关系：
9 o1 e% x! b& K' V3 s* Jtengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
; j/ t. M$ E1 \3 K! B/ u
/ M# k& u0 q! @+ Y5 T4 o, k  J4 Dyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
% v6 f9 _; C6 {' n! U+ |7 \2 Imodsecurty依赖的包：pcre httpd-devel libxml2 apr

0 \+ a% J4 f6 M8 k( pyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
8 O8 o: P9 ^3 r8 E" n
7 B8 z9 X) S: `- X下载modsecurity for nginx 解压，进入解压后目录执行：
$ `% V. q' P7 C
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
2 B- z1 h: ?$ ?! p. e6 l5 z( T三.nginx添加modsecurity模块

8 @3 U: p" \: ]' \$ x在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

, `2 h1 V# U+ ^./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
# Y5 y$ \/ S8 A  Fmake && make install
) u- n5 V, q  b0 ~; t四.添加规则
8 @/ O5 ^: Q7 g  g# ]' ]% G
7 J6 C: O+ |- I" d8 Wmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
% s6 w9 E3 e$ G. a& U
/ l+ Y6 K/ K: N1.下载OWASP规则：
: D9 B1 L8 f6 ~' |' {
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
2 u  j$ G* I6 L+ f: @
$ j. O& _, v/ D6 B& D; `& ycd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
" [# k& N) @6 H! g" l6 G2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

$ B1 o- _4 ?5 U& B& U! |编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
+ u; H% x; a& |! Y* [3 B3 _  Q
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
# \( s9 e" {  b# [( T+ O9 kInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
; \) o2 ~  q4 x2 qInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
4 F+ ]& P1 ^' D0 y  o! p& jInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
) K& O6 v0 r' I6 |2 t4 s4 L& I( \Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
* \% i8 I* B) J五.配置nginx
# B. Y  c0 w. \0 x- q) i
4 D  W9 W1 d9 M8 ~; H. L' x在需要启用modsecurity的主机的location下面加入下面两行即可：
- }& D& e" ?, [- F& K, ]
ModSecurityEnabled on;  
6 t; h: h8 T8 Q8 n' s0 S9 g8 {5 p! iModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

server {
      listen      80;
8 l0 b2 x- n! ?0 l      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

6 L) D; C* {% f+ m      root /web/wordpress;
      index index.php index.html index.htm;
, F% d4 T8 W% T+ G# r$ n  
( b5 V" n. ]! q6 O9 @, [6 ]3 @      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
( g5 i3 I+ X" ^      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
: \' e/ c# u! U7 v3 P      include        fastcgi_params;
      }
  }
5 I3 E) H7 J& A8 ]7 {5 @7 Fupstream负载均衡：
5 ?1 ~* v9 h. V) {
upstream 52os.net {
0 i* y  U. G- @" R2 ^6 ?! Q: l    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
: |" o% j3 v: V6 B$ |5 D1 q3 T}
# X" N% n' f) X: p' X
/ m6 a) R! J2 f3 o" A6 \" V8 jserver {
0 Z/ Y6 ]. ?( _" k. clisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

* `* ?/ I+ [; s  ^# O+ X, [        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
5 _& B6 A# s4 s2 U        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
1 m+ U0 u  s+ B, d0 r六.测试
( E/ z% ^4 K) `6 V8 O
6 U( |, O4 Y, K我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

6 r5 |6 L6 r7 u6 N<?php
    phpinfo();   
7 n0 i7 P* ^3 [) y( ^1 _?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
  v6 Z9 U9 ^. Q% u. t. X5 T( Zhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
" i7 e* K: ?! [% m% r6 Vhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
  o) H" J/ t' ~2 A8 O" [: d7 s& X+ X说明sql注入和xss已经被过滤了
5 E% \4 M3 x. g# W' y3 C0 }/ _7 _
七、安装过程中排错
0 {2 Y5 B. N2 x/ Q% y
1.缺少APXS会报错
" k  Q: U5 B" Q2 s
- j  V7 ]$ f) b1 q* d9 I# Tconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
6 Y& h& {6 _  Q1 C
  [3 \+ Z/ ]" F: q2 Kyum install httpd-devel
7 k: r+ W7 ]/ W5 J. H2.没有pcre

! H; Y1 R% r! b7 p4 r/ q3 }+ Pconfigure: *** pcre library not found.
configure: error: pcre library is required
解决方法：
9 G; U6 k: A, Q2 c
6 Y9 d; ?0 ^5 @- R" _yum install pcre pcre-devel
3.没有libxml2

3 h( R/ L, \4 ~% ^+ a
configure: *** xml library not found.
- e. N& U! n# ]3 }configure: error: libxml2 is required
解决方法：
2 c/ w/ d# V- T0 C
6 c) \' `- d) S- ^4 Uyum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
  W  `% ?2 Y3 o! ^( j
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
& _0 B; R2 [5 r. j, T原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

: K$ V# h8 W4 r0 f, m" h( X8 C3 t2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
, U1 k; z- A' f/ y0 S2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
& X- @+ T, x9 @2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
7 _9 t) k5 O: l) |& u+ e4 q2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex

  ]4 j$ ^) a/ Q8 f2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
6 o3 I. {5 s( t, r3 n; b解决方法：
. E1 r2 c; Y2 Q; L" k编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

* Q) G' q2 o6 G4 i- p4 l: ^( mSecAuditLogDirMode 0777
5 _! n6 ?7 j6 z: f1 T3 YSecAuditLogFileMode 0550
; l7 H% V4 L: U- Q$ i' FSecAuditLogStorageDir /var/log/modsecurity
/ i8 l3 e$ e2 t0 f+ `SecAuditLogType Concurrent
8 f; N* P/ g7 ]+ _+ B参考文章：
: e6 q. x, \' i% l4 G( chttps://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
. j7 T; l- @; |7 c( Z- E7 Yhttp://drops.wooyun.org/tips/2614