nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

* N/ y4 v) Z6 h- p" }" |一.准备工作

! C- j+ f0 Y& O/ [系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
9 q) l( H/ m3 h) o3 D9 j3 S' r
* f% O2 C: M6 a5 Z! P9 Q4 m& @3 Qtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
0 J: s$ I8 o- |' V
) a! P+ P: Q* y% i, Amodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
; r  `9 z! q- ^9 F
6 U! G3 B  K- M9 m1 E7 w# |7 BOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

# c6 ?( X0 e0 }2 N/ d% ^6 H) U依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

5 X' i7 W( c% ?: U! xyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr
5 }) m0 \" m; r" s5 C( }
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
! V9 p- Z7 w! a- ~2 @  R' w
下载modsecurity for nginx 解压，进入解压后目录执行：

' z3 h; i& o. ^- J./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
' h+ B: M3 d& \# I8 f三.nginx添加modsecurity模块
/ h4 R) O& a1 m3 @
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

* U% v; Q' k% @3 e./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
( E5 ~$ y( H7 D# h/ xmake && make install
! H( R, Q0 k: A9 J9 ^  g+ [四.添加规则
( N/ S. `* e. B# ?+ ], Y" T) S
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
: Q+ n- Q+ Z( H) c% Q9 X  j  i
) A! V; z0 D5 P5 M0 d1.下载OWASP规则：
+ A3 i0 d( d+ |3 D% t! E
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
* _8 {" R! b. \) _* F8 Y4 Q% W$ e7 m
+ i! E( _) p0 t5 w3 Vmv owasp-modsecurity-crs /opt/tengine/conf/

! c4 O+ K% `) u% E) C& {cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

$ ^* G- G  |! E* s0 A) i编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
% F! k# F% H6 l  }+ }
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

5 h7 t+ X. c: e0 F; K# kInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
) h9 \8 X( _- I& P' A' _Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
8 y, b  ]0 z- [$ C$ H) Z0 y
在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
4 D& W8 K' r# Y0 C5 Q, {下面是两个示例配置，php虚拟主机：
* e7 y& ^: F  T( ?5 q( d* H
; c& O' E1 z0 l7 {- _server {
      listen      80;
' x% l( E8 Q& B3 V/ W9 W0 u5 Y* C      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
, e2 q2 l; S3 T; i# p- C% U! y
      root /web/wordpress;
      index index.php index.html index.htm;
  I4 ^: W' Z& L$ z& Z  
. J+ R/ `" H% r  M0 v      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
. _# v1 i6 N5 f: K! L      }
& d; `5 H: B4 L5 M  }
upstream负载均衡：

- ^+ }% N- k- |' Z  c  [8 qupstream 52os.net {
, b3 _: ?) n* o5 v    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
: m( H4 ~! f" u/ J% b0 l
+ e  b* o/ |$ X0 R, tserver {
! x- K$ B2 |* T8 ~3 Xlisten 80;
server_name 52os.net www.52os.net;
; C9 j( q0 I% Y% P8 d
location / {
" v# _: e: r. E4 D    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
' o* Y5 z( u3 j' P/ @3 I
- F4 @/ O* D; y& c) P* C        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
% I! _$ b+ T1 Z( B+ Q        proxy_set_header X-Real-IP $remote_addr;
6 k8 _/ I' ], L        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试
" h2 r6 }0 M+ V% O. F5 Y" Q
# {, o, e* i3 A' ?我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
2 B( q& Z8 ^8 N+ f  S  G" j" }
, x  [" r1 `3 l) P! i<?php
    phpinfo();   
?>
在浏览器中访问：

2 C% p. J; `; h, x, b' F7 Vhttp://www.52os.net/phpinfo.php?id=1 正常显示。
" F4 Y/ t# M- j8 |http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
- D; K. V' A4 m6 s, c% {http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
+ g$ I  e4 x4 ~6 v: g说明sql注入和xss已经被过滤了

# o8 p3 Q( \6 U$ |; z% i七、安装过程中排错

( W- ~$ u( V( h1.缺少APXS会报错

: X; R# g$ e: wconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
  N  W8 I) p8 _8 h  _解决方法：
$ S# |7 J0 Z4 s  @. E" `
yum install httpd-devel
' @- f" K6 L* Z0 \2.没有pcre
7 T! |1 B* z: e8 A% [9 Z
4 P, P1 u; v- T! b; Y. t0 `configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

8 o2 Q! C* J9 i6 qyum install pcre pcre-devel
! f" y( U4 i% a0 x' k, D1 t4 n3.没有libxml2
; K: X; v' k& ~9 k, b# o/ l$ \

) t! O( @' J' a  {configure: *** xml library not found.
9 K" K- H+ [% Z3 h) O9 tconfigure: error: libxml2 is required
' M- D( d( p$ U; x" F解决方法：
2 p3 M1 [; |, _
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
) z" o4 T: Y# H4 w: N8 n& }$ Onginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

$ \: h: c8 E, V2 A* L. h2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
( ~. W8 I; H9 ?" V2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
7 o4 `1 _* B0 K  ?解决方法，移除低版本的APR (1.3.9)
0 ^7 a; L' ^' a- _5 }
yum remove apr
# [! w' y, l+ q4 v# i. i  I- y5.Error.log中有: Audit log: Failed to lock global mutex
* j( z* c: `7 \* X" p
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
" h$ a8 W5 l8 B: U: e: o  nglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
, D8 I; U" O5 f6 j8 e解决方法：
" ~4 a6 c: H# Y9 S( |# d3 I编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

8 t' t  w/ {$ P% s+ z/ TSecAuditLogDirMode 0777
* W/ z$ q+ Y. }: e7 ^$ q0 `* A  sSecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
( h5 P2 n4 ^" z6 G: ~SecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614