nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

6 Z* G7 x; b4 a一.准备工作
# w) z' u4 |' ~2 K
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

) W0 U* u6 n7 r1 s+ Wtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
: ]( N3 L) z8 W
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

# X6 |8 h3 S/ r. UOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
4 B! V/ w; J" n2 l* m
" V% d# t+ F4 J9 O依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
! ]3 [( E: b% F+ T+ A$ V8 K; B# Q5 f* d
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
* x, I3 H! `! ?$ `+ rmodsecurty依赖的包：pcre httpd-devel libxml2 apr
$ [' [) d; _/ p$ [0 C7 o
yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
5 s- V/ l# [7 j  J( K* p二.启用standalone模块并编译
* u: b7 C2 s9 M0 t; C# W
下载modsecurity for nginx 解压，进入解压后目录执行：
2 q+ O1 a% B: O
./autogen.sh
" ?  v4 \0 m. L- Z; j9 ^3 }# y./configure --enable-standalone-module --disable-mlogc
* v# u( B9 ^) U" G% A( omake
三.nginx添加modsecurity模块
6 b# F8 J( c% m3 U0 {
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

/ Q2 h- J# q% n9 r9 k6 W- U0 k./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
7 J& n+ v$ |5 z6 x/ u% a6 f6 Amake && make install
- f2 s$ h. ~9 e" L5 F四.添加规则
0 y' L& ^. N7 w( H7 m
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
+ G; V8 z) t7 f) W) V- b; K
1 I5 r7 S. L8 E; c& i/ L1.下载OWASP规则：
; v8 S$ u9 n0 i
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/

cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2 z: M; m  {# ^2 H2.启用OWASP规则：
2 {! S, s" h/ |: o4 `+ x- X# v2 H
+ k" \! P8 ]( W0 ]复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
$ i8 [- e) [( ~! W9 Q
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
9 o- D2 _: d* q  j7 Z. g; M, A+ z
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

* l1 b8 u( p$ U3 }Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
3 y( P; ?8 n2 Y2 i$ l2 }3 xInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
, R0 Q* @" p9 x6 S1 o6 h2 |Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

% @' i2 }+ X. V- S6 M在需要启用modsecurity的主机的location下面加入下面两行即可：

ModSecurityEnabled on;  
5 p9 X3 t7 P" K7 ^! XModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
/ G+ W3 W: F. G% J( K
server {
      listen      80;
3 |. s) i( G$ W1 d7 h( J      server_name 52os.net www.52os.net;
     
) |7 [. B" N# u3 H( h5 }; L      location ~ \.php$ {
      ModSecurityEnabled on;  
: n5 ]" J8 v) S* v      ModSecurityConfig modsecurity.conf;

3 A5 E: E7 `6 W. D3 Q      root /web/wordpress;
! ~: [5 \( ~# w9 l& X      index index.php index.html index.htm;
& D/ r9 P, D* ]% w) v  O  
/ t8 |6 \% e4 w# }- Q      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
+ O8 F  q- n- e" B( ]( F      include        fastcgi_params;
+ n( n3 F" g3 V      }
% m9 e3 T/ h. I- D/ A0 f/ A' ~7 H) Z0 l  }
upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
6 i) Z( A) P( Q! R6 X  G2 S    server 192.168.1.101:8080 backup;
! b% Y( J: B* ~" v) R- f( S}

server {
listen 80;
& g0 Y, b3 U. }6 ?4 S. qserver_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
7 X& e  u8 g( l% o% B% W
        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
/ l( F, P( x; `! e- n: M& O    }
}
六.测试
9 F) \& r$ ]7 j  z% r5 D/ {
2 X' M) ~! Z* U" F8 v0 m4 U5 f. r2 P我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
?>
在浏览器中访问：
& b0 V3 M+ l" i  |& M; I
4 _& v' J- X3 z% C- F$ ?http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错
2 u' q9 M4 ]6 q' V- K' f- }8 w
1.缺少APXS会报错

6 J7 n- P. m* a9 x! L# [4 kconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
+ n9 A7 |" G+ L9 v/ i/ R7 eapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
* B' `* r# }% x* T+ A) \解决方法：
) @9 R3 R: R% p, M9 q% L- s
yum install httpd-devel
2.没有pcre
' s# Y9 f  `- B
$ N2 d+ ]8 k6 k) d/ [configure: *** pcre library not found.
) N0 N7 k5 m9 j4 h! g& bconfigure: error: pcre library is required
解决方法：

1 X) l4 L; U1 q+ f) x. L" iyum install pcre pcre-devel
3.没有libxml2


configure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
) J4 v5 W0 K! F0 w4 l, n3 h
; {3 }  x0 |' cyum install  libxml2 libxml2-devel
6 H0 P, h* V! v  X2 h  M4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
% d! G+ L1 B1 [0 L; F
0 S1 ], B& h. r4 l2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
& p) J5 r! U% ?  r  C2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
! `' J2 x3 X  o& L2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
9 |2 M* Y7 A& u' a& G$ w& F. v2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
" d3 t% W2 |* i; f- L解决方法，移除低版本的APR (1.3.9)

/ T: P/ u" ~) N5 `7 a8 w. gyum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
9 I7 x% v# e9 w# _
2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
0 T0 f$ }4 n; e9 |6 n3 @解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

4 ?6 g; c+ i, s1 b; ~/ ?SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
- Y- s* h* _9 x  ?; g$ b4 fSecAuditLogType Concurrent
' V( n( V+ U) A- z/ B! _参考文章：
/ a$ O& k( a! ~( {  {https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614