nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
0 @6 l7 B& _2 {$ L% S! X
一.准备工作
4 H" V8 r; v8 y: y
% n. D$ E$ H$ z- [0 B7 P2 z系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
3 y6 b2 }1 M: [4 p0 o- ]
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
8 P. h" D; e% e" ]1 g8 D, c8 N- ?
/ I/ {# p% ?1 fmodsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
; |1 u$ W! @* Q$ `. l' r
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

- v% l. x, ]! W; w依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
. M$ f/ p" x0 Y2 Q
yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
' o8 d& T( L6 L4 J5 R3 vmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
6 E2 C* w2 ?# W1 n* c二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：
# \/ J6 I! X1 U2 @* A$ H# O
' K6 _3 t0 o) f+ E9 G. X/ _./autogen.sh
./configure --enable-standalone-module --disable-mlogc
make
三.nginx添加modsecurity模块

在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
3 Z% k/ ^2 s7 |6 A. h" ^
- i& U( T4 w/ g+ r% \# |# D' M./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
, g/ \* _! o1 c7 q8 ^make && make install
四.添加规则
/ }0 b# E- r. X; a% m$ v1 i. w
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

) {& I  {3 X) {, {! u6 l& x* Xgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
! i  p' S, @) T: V- m' W
7 ~& o. x8 p  U" t4 bmv owasp-modsecurity-crs /opt/tengine/conf/
3 h( B( b% X+ H: M* C9 \8 `; v
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
& P( y( b, N8 l8 R2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
/ M# B; B  u3 c" }
+ Y+ [, ?2 {; k6 w  y! x6 a4 b编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
: h6 u1 L, }- ^% G& X
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
" i# M3 I* _& H* i0 W* _7 a( {. V- i
+ J: {; `) }) j, wInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
( a  V5 _) H+ mInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
8 N3 M6 Z) W' c/ @/ ]; I3 W9 UInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
! L: W6 d7 Y3 k2 ^( s2 {" iInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
! n7 R' X8 v- L$ t" I! [1 eInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
0 J0 u( \. }5 l& F
ModSecurityEnabled on;  
) v- K: k  E+ n1 kModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
7 n7 P' K9 e: y: p& O
server {
      listen      80;
; x& C' l# ^+ T      server_name 52os.net www.52os.net;
4 G( C3 _6 D9 ]5 H) q& z9 J     
      location ~ \.php$ {
& D7 \$ c7 ^1 p) [      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
" D! I, u! d$ O; w4 i& S% n      index index.php index.html index.htm;
  
      fastcgi_pass   127.0.0.1:9000;
  y: u; s' {& K/ C/ q      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
! V" w* Z) j" T* M5 J6 w      include        fastcgi_params;
: |! r2 H+ Z  J, s6 U9 b$ `0 C      }
( L- v4 u; `& p' R  }
/ X; p* r: V% W& J9 Q! F, O7 k- qupstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
# p8 h9 i  t6 W, _9 @, |. I}

) B/ `# \, E  [$ \' ^server {
  ^2 ^1 L' q2 l0 m9 Jlisten 80;
, k" \7 v, L0 Hserver_name 52os.net www.52os.net;
: ~9 S3 q0 g9 B
) n/ [+ J# }* _4 Y5 ~location / {
    ModSecurityEnabled on;  
+ e- v1 L" q! a  M, n    ModSecurityConfig modsecurity.conf;  
4 b" ~2 Z6 M4 @9 w$ |% H
6 o  h7 T5 u/ L8 X6 Y9 \, v6 }0 \        proxy_pass http://online;
        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
/ |# s9 g: H) Q1 V0 H7 Y        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
}
+ z2 k! G" P2 Q) I) l六.测试

  v9 S% L4 [/ j! U3 a% |我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

5 q3 S+ r7 A5 K! Q: ?<?php
9 C: k7 Y2 A) T& D( F+ T    phpinfo();   
?>
在浏览器中访问：

- |% C; t5 b9 m1 s  [4 J3 mhttp://www.52os.net/phpinfo.php?id=1 正常显示。
* z( d, A, S" Z) S  Y5 S8 D* M' N% p  {http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
3 v  U) f# R/ W/ g5 O1 P说明sql注入和xss已经被过滤了

$ V4 p( U- S6 O3 W0 |+ T七、安装过程中排错
' C, B1 Z* r! s+ R" q1 F7 H( m/ m
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
8 ?3 d  r& |- y0 n' yconfigure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
# H& g( J, |/ z
) u% a0 `! g# p% U, Cyum install httpd-devel
$ z8 p: J0 g2 q) F  T5 c" M9 x$ O2.没有pcre
, {6 {. {3 f# s
9 a: E# Y5 L# ~9 wconfigure: *** pcre library not found.
  T! v' I; [8 o3 L) Z+ ~; ~configure: error: pcre library is required
解决方法：

yum install pcre pcre-devel
3.没有libxml2
* p5 R2 A' X" ^
; n5 i) c. [  s7 \8 o5 L
, o. L  a- C2 P2 W/ \configure: *** xml library not found.
configure: error: libxml2 is required
解决方法：
+ @2 ~0 A" @$ Y8 E' `- j+ P
% i. F5 g, u; B4 y3 H3 V6 Ryum install  libxml2 libxml2-devel
8 W5 U) M' D% c8 P) l4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
( i) Y0 x- u# \% q& Z8 T
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
. D1 x6 y6 o$ s& w- E. F. k+ N
yum remove apr
2 I$ p( Y3 I6 O5.Error.log中有: Audit log: Failed to lock global mutex

  j( K+ T" Z# C9 d( J0 J0 K2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
解决方法：
编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
$ L  Q/ J! G5 `; [$ Q+ a3 tSecAuditLogFileMode 0550
9 j( W" V% a. cSecAuditLogStorageDir /var/log/modsecurity
5 ?1 i% J8 g  }6 C/ x  ]SecAuditLogType Concurrent
( N; r( H; Q- M/ _参考文章：
5 L$ j; n( F5 \/ J3 p2 S: _https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
/ j9 f5 p  n9 H- shttp://drops.wooyun.org/tips/2614