nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
4 f( l; Q% X+ s+ _
# B5 l. ]. j9 X8 L) s/ d" E8 Q系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

! c/ [# H( A& |+ A% qtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

5 u( Y3 e$ i" \1 V: I' jmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
1 [' C5 s* M+ P6 P0 c2 P
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
; H$ l. V' s  q& P, [7 c0 w7 R
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
* o* Z! ^. e* q8 p6 p: ^3 a7 \
, s3 ~  N( m8 L2 l# Lyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
1 l0 x6 _1 ~) S5 Y; x+ s. C& @* xmodsecurty依赖的包：pcre httpd-devel libxml2 apr

' L* v% J$ r* pyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
4 V' x7 R6 g7 a# v8 b9 c) K二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

4 o  E) I1 w  x3 w7 r./autogen.sh
./configure --enable-standalone-module --disable-mlogc
7 b! C: o- E% T& B( |1 imake
三.nginx添加modsecurity模块

5 L4 L% y0 N# Y在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
; ~5 A) m3 O4 W% |& q; G0 ?
2 A# n- E& w. B$ T6 t./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
- {" v( L: k. U: A4 V* W! O2 Wmake && make install
四.添加规则
: W$ T  R7 ]5 a% i
1 u3 R. O/ `2 ~, omodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs

4 ]; h, g. J* a+ N+ I! Omv owasp-modsecurity-crs /opt/tengine/conf/
0 ]/ ]6 _6 m7 u% L9 }( B% B! {% u8 O( |
! c; N) d0 m3 h( Y2 @cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
+ C2 P6 H0 a0 X( R
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
) {, F0 L" e9 T3 q9 Y
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on

owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

- u: H5 |/ j/ c$ ?7 ]* u5 J* WInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
6 b: T3 f  f- V9 {% G7 xInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
) D9 K3 r7 k3 p1 D1 eInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
! B+ I7 v2 [( W$ g) |Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
& l& M0 v. Y5 O7 j1 j$ T. b' O( X
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：

( ]% D  v9 l* P, T, l' yserver {
      listen      80;
) d! x6 t9 B2 O7 q9 d" P8 U1 A      server_name 52os.net www.52os.net;
& C% b( f. O1 J; ^9 v     
8 |' r8 `# W. p8 j      location ~ \.php$ {
* N6 P/ P/ ^3 \4 h2 ~6 D      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

- }9 x/ O( @. e1 M# O2 p: H8 `7 `      root /web/wordpress;
      index index.php index.html index.htm;
7 X9 ^  [  S, a- x/ x- |' y* A4 z  
      fastcgi_pass   127.0.0.1:9000;
1 n3 r& t$ A. z' R% y- ?; F; F      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
" H' u' D0 C6 Z  P0 |1 h      include        fastcgi_params;
      }
  }
upstream负载均衡：
* ?0 n3 R0 t% y  T0 m
& g+ u- X: v, Z+ d& Q/ kupstream 52os.net {
1 Y; w2 w9 O) T2 [, Z    server 192.168.1.100:8080;
( M! n) N; K6 u: h    server 192.168.1.101:8080 backup;
! z9 K1 f6 t% B. w( c}

server {
listen 80;
server_name 52os.net www.52os.net;
& @; [' i# l; ^
location / {
) v. D7 I1 N" E5 F3 v    ModSecurityEnabled on;  
' E! |) ]7 s6 @! D2 K  m2 J    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
        proxy_redirect         off;
% i  `! N% B: B. p; f  V; o        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
六.测试
' P3 f' y* _0 W1 f) Q  J. v
8 O& G3 r  o' K* M8 |我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
5 o; q. g5 T) w( @- ~* f
, P# P  x4 ^; r( s4 p7 C6 S8 `5 E0 b<?php
    phpinfo();   
?>
6 P+ N. n9 ?" t* ~; Q在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

七、安装过程中排错

1.缺少APXS会报错
6 ]5 n  m% g# G6 j
* q4 n" @& z% Z* R$ y& L3 sconfigure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
7 }( }* {: T1 ~( B; w# ~apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
5 r8 _0 d2 m. v; g( [; K- C; i解决方法：

yum install httpd-devel
0 v/ n# Z2 i- W6 p+ e2.没有pcre
: g' f- K4 i. c
- [1 ^8 o( J& ]5 ]' ]( o, dconfigure: *** pcre library not found.
0 B$ S" p- }9 v0 K* ^configure: error: pcre library is required
3 o5 y" @, ?5 m" M6 ?' n! d/ W解决方法：

* H" B8 V2 G8 a" I' I/ Dyum install pcre pcre-devel
$ h' I) Q; w3 b; r/ E3.没有libxml2


configure: *** xml library not found.
1 X0 k5 {' K, E  X  \$ i+ Q( U( lconfigure: error: libxml2 is required
. W% u0 C) y/ M4 \解决方法：
( z0 u6 F1 Z0 h
yum install  libxml2 libxml2-devel
+ Y- T5 S- }1 c/ h3 K0 [, A4.执行 /opt/tengine/sbin/nginx -m 时有警告
; E& D3 n" `/ Q2 Z
$ A  @6 M6 d" `' S+ _Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
4 U1 m( c0 Y6 R+ ?# U4 F原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

; K/ G: t6 A% T3 I) v- t8 s2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
' d& t: |9 l' [7 E0 Y0 m9 E2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
, E% o, p$ Y, x* ?& @5 P2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
7 ?. K- I& T. _5 S! }解决方法，移除低版本的APR (1.3.9)

$ t4 A- K. F7 u) q  byum remove apr
( h. C' b' F: G& p5.Error.log中有: Audit log: Failed to lock global mutex

* W; F5 {! E) x1 n& R2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
( ~1 b; o: E% N& z1 ?) [解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
- K0 e) h/ q( V# l. k  Y8 }# e
7 J; h3 B1 L: Z: J! ]  R- A! w: JSecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
" n2 z1 L4 W1 jSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
, A  `: [' b- [$ U, k& p8 i8 Ohttp://drops.wooyun.org/tips/2614