nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
7 E+ r/ Y4 [+ r( q0 K' f9 p
9 t7 S- {% ?8 k! `系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

) M3 P& {8 Z. _. j1 M: Mtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

8 ?4 w+ E8 i* d( qmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
) G; x7 ?7 N2 `. i" P! _
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
modsecurty依赖的包：pcre httpd-devel libxml2 apr

3 q  L# m/ n3 \; M) y$ V8 cyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
9 o: l7 n& X* ~1 Z
+ ?8 T/ ~6 _6 m/ u! ]/ V8 O+ W下载modsecurity for nginx 解压，进入解压后目录执行：
9 J. H4 d9 K; q/ i9 B
./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块
% v# W, N7 A9 E' f7 M
! B, L) g% s, L在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

# V3 }* k* T, S6 b! _3 P0 ^% j./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
: [% l2 d5 R4 b3 r5 p( j2 F8 w四.添加规则

  ], _: x4 N" F0 G+ P7 [( d2 Rmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
  \5 a) q1 M8 _2 k; w  [2 P" v9 T
" d* |) A+ X+ [* A1.下载OWASP规则：
" Y2 M8 |. P& z* c
8 [/ k7 C6 H# c5 s% Q6 q* |git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
  T! A+ s/ _( M) \% T( r
mv owasp-modsecurity-crs /opt/tengine/conf/

* i. {) o% i) \4 k& T! ?cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
' N+ A9 d: m- h2 e6 }; W2.启用OWASP规则：
' v/ h; M: k5 h. H+ ~. V% I$ t/ }
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
& E- j) Q! j8 d
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
' }( u3 V( f( ]
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
" a, p4 ?% o: W% Z* TInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
" }5 T8 R6 V( h/ r; r; \Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
7 W; M. M+ }2 }9 P0 z* |+ V5 U8 aInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

! T8 z3 b+ f- ^, f在需要启用modsecurity的主机的location下面加入下面两行即可：

3 S# J3 ]: D- D( dModSecurityEnabled on;  
( x5 L3 B; d. zModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
' }7 r& W0 U1 m3 o! d  h
) Z" _; X! `+ x7 Sserver {
      listen      80;
      server_name 52os.net www.52os.net;
2 d  z) y: A: }, P2 d$ X     
+ S6 W3 x0 ?: S7 d$ {" {* K      location ~ \.php$ {
: [4 e/ Q: Q' G9 {      ModSecurityEnabled on;  
+ W" Q/ k3 S! [  W  R& B# f      ModSecurityConfig modsecurity.conf;
1 K/ `: K7 z, _' n0 M. B9 H
      root /web/wordpress;
      index index.php index.html index.htm;
& U  y4 J- c! _& y/ i' q) M3 E  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
& D7 u" e) J: q7 X' {) Y! K      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
# B$ G! i  i, ^) }# O0 V      }
, F2 v4 V: f* \$ h  }
& k1 T$ Q" e$ ^6 _/ {( `upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
) G- c$ r& Z# P9 e% f1 `    server 192.168.1.101:8080 backup;
}
% z3 h3 g! [% l- ~5 c8 j- ^, l7 F
& r6 m# L' s- n5 a' s& Zserver {
6 L' {' d3 {: {  P! c2 Alisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
2 {+ J7 _: E2 r
        proxy_pass http://online;
        proxy_redirect         off;
3 [: ]- y' D9 [9 M6 d        proxy_set_header Host $host;
" `2 M7 p( Y1 B3 a$ ]8 U& @        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
, ]  V' `: D. i9 h+ P}
六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

7 N! `$ S4 h; R2 J( D! h: w/ J1 p<?php
9 T8 L9 _2 H$ l& H$ Q6 u0 Y    phpinfo();   
$ L" l0 N+ p2 I& S?>
在浏览器中访问：

& Z- M6 W$ u9 q4 p2 Ihttp://www.52os.net/phpinfo.php?id=1 正常显示。
9 t2 G+ H2 y) l1 D. e9 r! Ohttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
' u  E: W9 h; thttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错
( S/ A7 X$ ^; k  v! u# q: g8 Y
- t) x' S5 s% Y  d6 k; B# V, r1.缺少APXS会报错
! o& F  E) B  ]# N5 ?/ `9 X
# A8 _& g7 L1 V1 r. K' ]; Uconfigure: looking for Apache module support via DSO through APXS
8 g7 }7 S7 e7 e  U/ X6 b. [2 Tconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
8 f9 g( b2 [( `3 [6 m2 t! V
yum install httpd-devel
. v) x+ T1 f- X2 c2.没有pcre
! V1 Y$ B( z6 B1 y) k/ w" C5 |
configure: *** pcre library not found.
configure: error: pcre library is required
' L' d2 E7 v' z, E$ _解决方法：

yum install pcre pcre-devel
9 c$ Q; m* P# `. {# }3.没有libxml2
  d/ @( y3 N7 y: ?' ^

configure: *** xml library not found.
configure: error: libxml2 is required
1 ]/ H1 c: w( ~1 P解决方法：
3 r3 Q, J! q. e
2 E, r$ _1 N. @7 V; Jyum install  libxml2 libxml2-devel
9 u( a, |0 s7 ^" H" T: q8 J4.执行 /opt/tengine/sbin/nginx -m 时有警告
) D$ }- ?; z5 H) ~. F
) t9 t% R; X; zTengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
  \1 n5 b8 w2 z1 {7 W原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

5 V4 Z7 P) h& z3 J8 z# n2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
1 U, u; b, j% h2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)

yum remove apr
* P& g" z6 _9 r- q$ I0 ^5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
/ D: T% n1 A& L9 kglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
! @# d4 b. p" d解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
- A+ d# |, @/ }% \0 g0 a
; v8 i* q/ k$ E! X& n: xSecAuditLogDirMode 0777
2 D3 A' i5 q) D0 {+ O3 {8 `! }SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
! u3 {3 g8 d7 @* X! o0 f9 lSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
/ e2 ~$ i+ _8 {2 D7 _http://drops.wooyun.org/tips/2614