nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
- B+ `) f& p) H  V, |' e8 [: y
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
& H* j# N  L# _
9 c5 ]' ~( R6 f' e" S1 wmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
/ {! b2 L5 B- e1 t  F
9 j0 p' _3 x7 H8 i8 r$ q. V+ g1 i) {OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
& ~8 Z& |6 {% B2 e4 J. ^& y
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
( @! y# G- x" W4 ~# A/ Q+ omodsecurty依赖的包：pcre httpd-devel libxml2 apr
! t" Q  o  r: R7 a' U
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
; X, {3 x3 n+ l! a0 l4 H0 B二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
4 f) ]" e0 [- C5 _% k5 Z' w' [5 f( M./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则

6 P& G3 T9 x; w5 i7 e8 G* `" }modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
( L! j; }4 L6 a- M
& @% L) M! V9 c4 j! Egit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

  b( ~' z* K7 Q& I9 x( V5 \cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
0 W. `* {& o. V
/ d9 f6 ~: ^7 A' ~) x! W复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

# N6 r* B1 t$ i( ?/ X8 Y编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

" w% i2 e( h" J0 WInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
  _3 ]5 S+ a1 yInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
( u+ ~, N% d* iInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
' R: Z( o7 B7 s6 x) S- \& N/ b9 b五.配置nginx

2 z4 Q8 r/ S, A4 N" i9 t. t! E/ I在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

1 h6 t  D# F1 \& Aserver {
  ?* V4 |8 }& o  j      listen      80;
      server_name 52os.net www.52os.net;
     
      location ~ \.php$ {
# r! a+ i- S' K3 N. i8 [, a8 _, X      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
6 j% X: X! w- y4 ^" E& I6 e6 L" o# G
      root /web/wordpress;
6 ^& T( r. w; t: u. ?( q$ i$ ^1 [      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
$ e' d$ j5 v! u7 |& N2 ]      include        fastcgi_params;
      }
% k$ n' B) c. V5 U  }
3 `& X+ U* k% M# h5 Oupstream负载均衡：

2 X5 D/ M) t3 A( n0 C5 a/ Aupstream 52os.net {
7 t) O$ O0 Y% q4 d+ ^# V    server 192.168.1.100:8080;
: ~+ i, f( Y1 _7 |4 G+ g9 C    server 192.168.1.101:8080 backup;
3 l1 ]% w7 x. O$ ?4 Z9 v}
. r2 p' M: V9 M/ X/ k# `  j) y
* P" e1 c: V  s7 I/ B3 @) y0 Xserver {
listen 80;
server_name 52os.net www.52os.net;

location / {
& W$ A7 H# y8 p# |2 K    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
8 N8 N; u4 W% d: D( @+ ~- t
        proxy_pass http://online;
9 O' I9 u2 X. G. t. q1 D        proxy_redirect         off;
+ _' R+ I3 k+ k8 T, X        proxy_set_header Host $host;
0 g1 I/ e/ ]+ K6 m# x8 W9 d        proxy_set_header X-Real-IP $remote_addr;
! `# d# ~2 S' ?$ l: f7 j        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
' S- a3 i! r( H; x) ]6 C& U}
; J  j5 ]9 f/ v& t) A六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
+ X1 k: @" S/ ?% L1 {+ e
6 g( w1 Z+ f( G" h<?php
" Q) `( @" x4 z    phpinfo();   
?>
/ [" D/ B; F& E: @1 j2 R在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
3 M  m" _8 v+ u- Uhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
5 {5 M$ B, B. |/ B4 L% }9 D3 C说明sql注入和xss已经被过滤了

七、安装过程中排错
& |9 `: k. y3 |- h
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
5 r$ }9 m+ |/ w4 z2 X解决方法：

8 |2 o& e; r7 _' D7 K+ a' Ryum install httpd-devel
! f% [) V4 |6 u2 ^/ g6 i2.没有pcre
, L. F: J# i' R' o( I2 l
configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

& A/ {0 b8 W8 }yum install pcre pcre-devel
: j- B0 f" @) u; A# B/ w3.没有libxml2

2 _/ z8 q6 ~, s1 `. Y
configure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
' f% [: `; i+ H2 C0 {
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

$ X1 q* [: X; K" }% fTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
! E) l( _- w2 G3 l原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

3 \& c/ T* b% l) ?! v3 w4 Z' G) a2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
3 {' A4 L9 F% f2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
  h6 ?& l3 ]' _" \+ o% Y* l% p解决方法，移除低版本的APR (1.3.9)

yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
' M2 o* T% G0 t( _' f
, C& D6 A- ], k6 p7 @& r5 @2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
5 L: c9 k+ _8 Z# q编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

4 @3 F3 @- N+ L6 ^SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
8 ?/ |/ A7 t2 ?  r0 ^( y8 k; T' NSecAuditLogType Concurrent
参考文章：
$ I  ]7 w6 u/ m5 ~https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614