nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

一.准备工作
6 j" x5 ]- D) l+ g
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

+ O: e+ N8 ?: j8 Wtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
( T% e' }' `8 H% O3 a0 _& H
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz

OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs

依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

; m1 K; C8 K, Y( b) S3 I, M4 }( Yyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
" d& ~  M5 }6 H2 Jmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

9 p  y# z7 ]4 C# V0 `& K* P6 A./autogen.sh
1 L' w! S  G7 T; j+ W./configure --enable-standalone-module --disable-mlogc
make
1 w. J4 X2 N' V- |三.nginx添加modsecurity模块

8 q* H- g: ~9 j6 K* D在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
' |2 Y) e8 s, i$ \
3 H1 ~; F. }2 R8 q* G, l3 I./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
! B. ?8 I; }0 q& X  o$ m  G) d, Nmake && make install
' ^: t8 f. Q+ r& u& D2 o+ H四.添加规则
% G# ^/ Y4 E" {" y
modsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
" ~7 j# b$ w- t3 \" R
1.下载OWASP规则：
+ h, Z- d" E4 J7 B0 J/ `4 A
2 q. u! A3 L5 s$ J/ ?9 l* T0 A. Agit clone https://github.com/SpiderLabs/owasp-modsecurity-crs
+ m+ H  o" u: ~. |4 g
) V8 h( Z! a& m1 t( ?( omv owasp-modsecurity-crs /opt/tengine/conf/
- E3 Q. R( h- }' c
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
0 ~5 O0 m+ J6 h, j% R$ i2.启用OWASP规则：

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
$ J, b) E1 Y% y+ K
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
1 h8 c6 n/ b. j4 e% C/ B* Q
9 l! f$ Y  |# }" n* B4 qowasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
: ]5 D' J! J, w" Q# ]. M) S
5 @& `3 v7 s* q1 @" D+ v' rInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
0 U+ a& |+ f) T9 pInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
7 z: h: z- w+ uInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
4 j. G9 [0 k3 W7 c9 s, X- f( P2 M
5 W2 j: d3 l! r- Z$ N+ ]% a1 R3 j- HModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
下面是两个示例配置，php虚拟主机：
8 C7 a, C( e, Q, M/ [+ M7 x
2 p5 c  J% v5 L( X- D9 ^( y+ n0 @server {
      listen      80;
, H% `  O( }% T- U% B4 ?/ X) I      server_name 52os.net www.52os.net;
     
  H$ u1 U* g2 Q* {      location ~ \.php$ {
* k2 d. H3 q4 @7 j9 [" ^      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
" ?7 H% }2 e$ e
  v/ c- ]( S! C; Q, X. Y! ^      root /web/wordpress;
5 i2 I4 N  w) p2 U; C, i% B, P6 A      index index.php index.html index.htm;
4 a5 R+ y7 Q' B) l, w  
      fastcgi_pass   127.0.0.1:9000;
( i9 Z3 F# V0 f" ~- J; ~$ g      fastcgi_index  index.php;
( Q- h; B" d6 k4 ]$ h4 t2 e! I      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
( z' Y. A1 {) N; L6 L3 }/ B- E      }
. Q/ g6 r2 g: P/ p3 R( U/ D7 A  }
upstream负载均衡：

, R0 |% A( }" pupstream 52os.net {
) R% U6 U+ a: G" V/ \: K# D    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
% p0 a% I3 \1 j5 j( R) J
. f7 g% I8 w0 Q6 F2 P8 Dserver {
+ J# J8 \) d) v6 W- t: o! u, Olisten 80;
server_name 52os.net www.52os.net;

% a) O' `9 ~& }! Z9 Ylocation / {
2 l7 C+ {) u2 Q9 q    ModSecurityEnabled on;  
& h( K; v3 L4 G0 I% `) s2 \    ModSecurityConfig modsecurity.conf;  

        proxy_pass http://online;
6 O1 U# l# t7 Q/ l& C9 ]% d        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
- I. z3 F1 `+ Z; x; A4 P: j; e' ^    }
}
1 U2 q2 ?, P5 `" O$ Y) \六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：
) T( c7 D3 ~9 O. j! a7 I8 b4 e2 G3 }
" T. `0 G% ?) n( S) q7 _3 F<?php
    phpinfo();   
: c) m7 y# z- A! h5 Y?>
$ S8 H% k) a  F& _8 ]9 k$ s在浏览器中访问：
* w  u# v( I: |3 K  l. ~
" C" E/ J$ y) G& ~http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

+ B" n. b0 V. O# [) ~. H; [七、安装过程中排错
) P" E- b8 q8 R* F% V
2 K* |% N) x2 j7 j. Z# @1 A' {& J1.缺少APXS会报错
6 o5 L6 r) j4 |, A. J4 P4 B
configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
apxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
) Y  l4 I4 {+ H6 r9 l解决方法：
3 I% I! k2 _3 @  p
yum install httpd-devel
* C: H; }* Q+ \3 X9 Z( S: m2.没有pcre
( Y! m; W2 f: Y9 k. b2 P
configure: *** pcre library not found.
9 x5 c- K& r7 iconfigure: error: pcre library is required
5 B# C" H! A6 Q! e解决方法：

. R7 D5 D; ~1 L  W+ C% ~) n0 K8 Yyum install pcre pcre-devel
- ~1 v) @" {/ k+ _' F7 x2 E* _9 b3.没有libxml2


8 E0 I, ~2 ~8 Rconfigure: *** xml library not found.
% c0 ^! D' i' \# }% A- rconfigure: error: libxml2 is required
解决方法：
. s2 Y+ L; ?! I9 b6 ?
yum install  libxml2 libxml2-devel
. w. L3 _- x* X5 M+ J. H1 H4.执行 /opt/tengine/sbin/nginx -m 时有警告

: A2 e( Y0 ?6 Z- z0 ZTengine version: Tengine/2.1.0 (nginx/1.6.2)
) _0 ~! }$ f! V" dnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
2 c$ |3 ~! F, e: G& h& C
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
% q: N' v% F) D, L7 [) w' @3 d2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
& A' @- t6 T! X9 X( J解决方法，移除低版本的APR (1.3.9)
' {5 d0 X/ g# H- @2 l6 F
yum remove apr
# |7 x: `' Z: p! ]9 z4 p5.Error.log中有: Audit log: Failed to lock global mutex
) c7 b& f9 y! K; \% ?
. j$ D# E6 S2 I. O, `% ?1 C) {2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
8 {1 R& \4 J/ u# Q) Rglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
/ N3 M% @0 ?- z( K, v( t解决方法：
! V) V1 r; i5 u% y( O1 p编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：

SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
; P  d( r8 ^* i. ^+ A" TSecAuditLogStorageDir /var/log/modsecurity
, B. S' P$ J  ^/ @% TSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614