nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
# J  m0 U+ g, \" |& j* {
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
. H1 j8 d& f  Q0 V' X
tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz

modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
; p" j& |, Q2 s+ @* n* {9 g' r
6 t7 v5 @" g* O6 O- g依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
8 Z2 k5 j3 D# _& p
! J2 c. C: z/ ^yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
& O  K; t$ \4 _% Imodsecurty依赖的包：pcre httpd-devel libxml2 apr
5 f7 L' S% c, `* Q, f
8 C% q7 f. p6 G& k3 G/ Z; [8 vyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译
) z1 n# y" w5 R0 b1 @
0 r, W/ z1 C! B* d4 \下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
/ H- s; t5 H% |./configure --enable-standalone-module --disable-mlogc
make
5 @0 W5 V( a8 K* h三.nginx添加modsecurity模块
9 V: n. D8 ~4 O& A
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
! G2 g) i; F. s$ h+ D. H5 X$ Mmake && make install
' L- K5 N: O) H! ~+ Z" _四.添加规则
5 _% O6 X& _# d% Q/ n# h5 R
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
* N( k0 I$ j* }6 S
" @- e5 {" N" `7 {8 p1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
% M2 g6 C' I$ \! K# V
mv owasp-modsecurity-crs /opt/tengine/conf/
) ^0 [! F$ ~9 a# a
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
# }4 b# W) L2 h6 S
: R5 h+ p; I& n* p5 u复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
" m# J7 z* G3 u4 S
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
& H  _' K6 D+ B  }
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

! E# {# w4 Y) I! GInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
  x# R6 c- f5 @Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
' ]6 S  M0 Y3 eInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
+ n' @+ I1 j- Q. s" ^Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
- j. }: K$ t3 GInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
2 h, U! X. r' V+ k8 q7 _$ qInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
9 \4 r8 o% @& B
: @* w: n) Q6 I& KModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
9 h1 C/ _9 t  |, U下面是两个示例配置，php虚拟主机：
3 Q) }$ g1 f% f' e$ k5 k1 n
8 `6 M: `2 o% S9 g" Hserver {
      listen      80;
5 P: |! @) G$ ?# N      server_name 52os.net www.52os.net;
/ F1 V  W; ]& g! a     
0 ~8 ^7 {. z. Z5 i0 ]6 ~      location ~ \.php$ {
( w7 A& Y* x( ?% y6 Z2 w7 B      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

      root /web/wordpress;
9 ~/ c' U( l0 d      index index.php index.html index.htm;
  
1 P: [2 ~8 y. U( a      fastcgi_pass   127.0.0.1:9000;
; h& q8 g8 L6 F6 _      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
1 h4 K" F9 h( ]/ I; J      include        fastcgi_params;
& b5 [5 @9 D  D" v) b      }
  }
3 a" F$ `* S0 ?; R7 @" m0 fupstream负载均衡：
) C9 T! r5 M0 `  q7 `8 M0 X1 q
upstream 52os.net {
8 j7 D7 Z# q' n0 }5 l# d0 J$ ~    server 192.168.1.100:8080;
, F1 x; _  M2 }0 }$ L    server 192.168.1.101:8080 backup;
0 ~; I2 f! b& G}

" E3 S9 V' U9 ~0 W! Hserver {
listen 80;
server_name 52os.net www.52os.net;
5 h: f+ m4 L9 _7 s% r. C2 N
location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
/ d+ Q# j) O: J2 H4 n1 Y6 `8 _  r( M        proxy_redirect         off;
        proxy_set_header Host $host;
! }  S! o* X; N  b' Y- I        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
  Q% K# [9 s" Z" H/ {# a& S    }
0 w5 n+ K' f/ K/ D" C% ?}
六.测试
7 Y) [6 W: [! H4 _
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

  z7 H/ @  e; M. Z- R7 ]. s<?php
2 P# E! M' v* d3 x    phpinfo();   
?>
. r0 T; G% M- r4 m4 K; l1 u在浏览器中访问：
/ d* A) E) ^9 O* `# p
http://www.52os.net/phpinfo.php?id=1 正常显示。
0 m+ _, \1 N8 w! B! {  J2 Vhttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
& z0 s9 D* U% fhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
6 J2 {4 Z3 O( H% {6 ^
9 z- P" M' k& e9 U0 |; }七、安装过程中排错

1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
9 o+ Z) a+ o4 m$ G2 hconfigure: error: couldn't find APXS
2 h1 o5 b% v, {% e; hapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
, C' S5 x9 t6 N& X; z' @解决方法：
  Y5 U  `3 ?; @7 y# P/ m4 C
% F7 h- V3 \- Qyum install httpd-devel
/ O1 X; L- }" ^+ N5 S, N2.没有pcre
9 Q4 X, H) P8 `9 b9 Y
configure: *** pcre library not found.
configure: error: pcre library is required
% n) r5 ?$ ?) m1 c, h解决方法：

7 i* H" a/ @& c) Kyum install pcre pcre-devel
3.没有libxml2
; ~$ G  o  D: O# {; V, V) c
7 A; E# J+ K2 _3 i' X" b0 U
. G% F1 P9 i: f9 gconfigure: *** xml library not found.
configure: error: libxml2 is required
+ C4 D+ c) m1 Y* y! h. z+ {解决方法：
! Z# N6 L# X1 P2 I0 z5 g5 c- Q
yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
' s! L# G( s& B原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
* {( L; k; K% L- b' W6 C5 C' v& ]
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
/ c- _, r$ m1 J& N# k8 U2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
1 P7 z" v- e' U7 c2 r+ i2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
$ h/ L! V. t( B% V2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
9 P# A# x+ t, V. K3 e  K  M解决方法，移除低版本的APR (1.3.9)
- r1 L( A6 b& ]" C! l1 S
yum remove apr
2 z+ J$ ~2 {- t7 Z5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
% ~6 e% l' w4 v& `* V1 V3 pglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
7 u3 `. o/ g2 d1 P2 i) f* w, w; m解决方法：
- h- i& r5 D: j# f编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
6 ^; u3 Y" J" b! }! i; YSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
/ x3 @0 E3 B; N2 W, \8 ]; [+ N参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614