nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

! ?+ f/ m# A2 I  d  y9 ?一.准备工作

1 {( U" [) W6 D+ B) q! O, h7 D系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

3 p4 Y3 y/ ?7 Vtengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
" d$ I8 _: v% h( g/ }& @9 l" C$ |
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
- O* f% d* t7 y3 h; ^9 z
) v, X6 U5 H* Z* J" }+ ?; kOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
) {; ]5 V3 A( g
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

6 [7 ^+ \3 ^. \" s" ~! zyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
  i9 S# g+ `% L  g) Lmodsecurty依赖的包：pcre httpd-devel libxml2 apr

yum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
4 _* u: ^! n0 m5 A6 a二.启用standalone模块并编译
! S+ J% F6 Z) D. T
下载modsecurity for nginx 解压，进入解压后目录执行：

6 Z) {5 h. Y& ]2 k' \: t./autogen.sh
' a) Z& }7 ~5 p6 N) O  R./configure --enable-standalone-module --disable-mlogc
2 k5 l0 Q- z: h% F0 _make
三.nginx添加modsecurity模块

- |# {( c1 \; G- P在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：
' V3 B9 q5 a# S3 E* {1 S( r
& \! k% t7 c4 ?$ u5 Z) q./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
" ]' ?; J  t+ M; e0 ~7 {5 @5 H四.添加规则

; S, [4 Z4 _+ L5 y& Cmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。
  Z- _' X/ v& a  K
) U8 e1 _8 S. y: v1.下载OWASP规则：
  ^6 x* N3 J9 o
git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
1 z5 [' ]9 e; ]) V3 _5 I
mv owasp-modsecurity-crs /opt/tengine/conf/

( g/ W7 Q2 i8 ~cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
# n  N7 R. M- m& s2.启用OWASP规则：
! V1 j/ Y& t. g9 W( w) I* I: }
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
' m$ s- w. D6 X/ X$ o' M
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
9 x+ R- n* s& @3 ?( o( r
' V9 m% u  q' V. K0 yInclude owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
/ v# d9 ^/ [! Y2 V, Q5 m+ dInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
) c) Z* j3 {2 P! [# J/ ]Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
) g  \( Z# ?9 p! a4 pInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
1 @3 {- Z5 h% i( G6 Q5 P
. q; g% O( e- R3 @ModSecurityEnabled on;  
( N' F! _0 z4 H# ^ModSecurityConfig modsecurity.conf;
6 M' g: b. e5 e0 X下面是两个示例配置，php虚拟主机：

server {
: Y0 Z& e" @# c: `# e( ~      listen      80;
      server_name 52os.net www.52os.net;
     
4 H4 p8 f  \  G3 ]6 U      location ~ \.php$ {
7 d) R. z0 _/ [: \      ModSecurityEnabled on;  
1 H) x: q7 Q+ S4 W8 Y1 F" G. d' C2 H$ a% S      ModSecurityConfig modsecurity.conf;

$ {5 L9 H% Q: r9 U      root /web/wordpress;
9 ~2 c0 g7 h& g7 ?9 o, ^' i- {      index index.php index.html index.htm;
) @  \0 w+ I6 Q6 l3 i# r" G  
      fastcgi_pass   127.0.0.1:9000;
$ Y$ X' _$ ~1 u* K% d0 G; Q6 `      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
- e) X3 b8 [0 ~, u      }
  }
upstream负载均衡：

upstream 52os.net {
7 I* y% A$ `* U( `    server 192.168.1.100:8080;
    server 192.168.1.101:8080 backup;
}
1 M4 `7 U5 g. f; M5 o0 c
server {
% j" u( \; C% N& u8 `9 rlisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
0 S2 u8 v4 m; j3 h    ModSecurityConfig modsecurity.conf;  
2 N5 I9 w' g' V  ~8 R/ f: g7 y
- ^- m9 }+ j4 _0 A; @        proxy_pass http://online;
  I) O* ?- \/ J& t) o4 S        proxy_redirect         off;
0 J3 L4 ^4 t4 k- p1 f( O4 `2 X/ L        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
& X9 I$ E  E/ n: |  O}
( G% S* b' r) y% v0 \六.测试
. D# E* @" y* @" r
+ x- R" y- P; v0 w3 G5 B我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
    phpinfo();   
4 N* R6 v% O8 n4 @" ??>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
http://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了
. o1 V7 V. E! G" l* C/ a
七、安装过程中排错

$ \; f( o" p. {+ M; ~5 M8 ^: O1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
configure: error: couldn't find APXS
2 b$ l5 X# J) j4 a. iapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
* |! M; ^% w4 \2 C. B2 w& s解决方法：

, [' l' P8 i8 N: T* H, M" I7 y# ^& Q7 lyum install httpd-devel
2.没有pcre

configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

) F, r  K& F1 }& R# t0 K" kyum install pcre pcre-devel
3.没有libxml2


$ d( q  T  t- [& V- l8 u1 ^) q3 \4 y, iconfigure: *** xml library not found.
configure: error: libxml2 is required
解决方法：

yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告
2 U7 r2 Z) Q# L4 V
$ b( O& s9 u/ M% |Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
" n0 [2 [' b7 `" K9 F1 ]原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log
+ f2 z- Q; [0 A$ j0 }% k
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
9 s% B9 h- j: i9 [2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
9 p8 k( Y4 k) \( Y解决方法，移除低版本的APR (1.3.9)

+ |. X( w3 b; q9 i2 x: [yum remove apr
. T- u# d8 _- h) |4 n5.Error.log中有: Audit log: Failed to lock global mutex

2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
% O+ O! z3 |3 Z1 u" X( pglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
! f: ~3 H, H9 m) r1 Z% u解决方法：
" E4 `3 x: e4 }1 E  D4 [$ R7 E编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
+ t6 ?* [2 P1 \, J) I
SecAuditLogDirMode 0777
SecAuditLogFileMode 0550
SecAuditLogStorageDir /var/log/modsecurity
+ V6 l& b9 `; w( L" y! [$ p8 z& R5 [SecAuditLogType Concurrent
: j, M! f9 k% k+ L# R1 U参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
  L- {$ ~3 _2 t2 I8 _/ b5 khttp://drops.wooyun.org/tips/2614