nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。
. c3 h' \2 h1 J; I
一.准备工作
$ |) [: c2 j+ i8 B
系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0

tengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
. M* V! j6 Y, L4 s& F  p
  ~- z3 B, A; k5 M7 e) _# m9 ?modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
. M# W2 Q8 H5 G1 V
OWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
5 {/ M7 L) {, X& x6 w, u
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：

yum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
. ?- q/ a( J7 x( |1 |" ?modsecurty依赖的包：pcre httpd-devel libxml2 apr

" U- p& `; L" S8 i% n: R5 `7 R# cyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
1 Y; F9 b0 `* I- y" o二.启用standalone模块并编译

下载modsecurity for nginx 解压，进入解压后目录执行：

./autogen.sh
1 Z; P, F  \5 m./configure --enable-standalone-module --disable-mlogc
make
; a9 m9 ]) Q! U" b' Q- m三.nginx添加modsecurity模块
9 Y0 D8 v- V: u8 Y! F
- F  C2 t9 q+ w7 m9 d在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
四.添加规则
( o, B' h# q: G  u/ b
( u  ?2 _8 ~6 y- Emodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：

git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
, d9 [5 D$ o6 |+ ]
mv owasp-modsecurity-crs /opt/tengine/conf/
3 {2 r$ F- _! L2 a+ O/ Z
cd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
; J  F4 `; h" ^' F; E; A0 H2.启用OWASP规则：
+ U% x0 q+ D+ O/ g: y
  k) D- L- B: U$ O1 ~复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。
/ z, l- d+ O% x+ f
编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
$ z6 g( S8 l1 h: D. N( U8 D  y8 R
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。

Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
# x+ L4 @9 Q" I  ^  B% N& sInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
" a) T. b* |5 v2 m  B3 IInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
. y  G9 P, _0 @3 e( z5 i7 gInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
Include owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
& O' A  x! n6 l* k五.配置nginx

在需要启用modsecurity的主机的location下面加入下面两行即可：
( A* _- d, n' H5 M
ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
) G% l6 _! G4 y! C下面是两个示例配置，php虚拟主机：
$ h0 H  Z& H' }7 r0 O+ O3 i
server {
      listen      80;
6 Q5 f4 k# ?" ~& a# v- b      server_name 52os.net www.52os.net;
% J- R/ R9 U$ X. e     
      location ~ \.php$ {
5 o: b2 e3 @8 j  P0 y( p$ t3 M3 |9 F8 [      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;

2 `# t) Y& p' M. X4 e      root /web/wordpress;
+ r3 v/ l2 \* {9 Y$ e  y      index index.php index.html index.htm;
( A: x/ }7 F0 B: T% U7 L3 ?  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
, f# j5 W6 D/ H' s! u$ j. _- E      include        fastcgi_params;
      }
  }
0 V7 c$ c' e) I8 |/ ?* ~upstream负载均衡：

+ X+ y% l: ~8 g% @upstream 52os.net {
1 A5 d( M3 Q0 e7 `$ q+ N0 N    server 192.168.1.100:8080;
$ a- }' I/ l6 E# T5 u, l    server 192.168.1.101:8080 backup;
}
4 W! w2 A/ p+ A. G- G" d5 u2 v7 V) o
$ O+ B& N. d2 s7 l# K# L: }; gserver {
1 o0 C  x3 d+ G0 v7 ylisten 80;
server_name 52os.net www.52os.net;

location / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
6 _! l6 i0 h$ ^3 Q2 T5 {
        proxy_pass http://online;
  p& c0 P$ S$ n# @% A0 J        proxy_redirect         off;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
: g7 ?5 M- t# f. `+ V* v2 @$ Z        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
    }
9 V% T2 {/ x  k: V2 Z% Z}
$ g0 [, ^  r9 X. M六.测试

我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

4 A% {2 J  f% G" `. t* o* s<?php
    phpinfo();   
; ~. M# `7 f) G& i/ L5 p?>
在浏览器中访问：

http://www.52os.net/phpinfo.php?id=1 正常显示。
  b( w' X" f  C1 [. X6 Khttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
http://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
- n- p5 h, A) [" `说明sql注入和xss已经被过滤了
; j; g. L8 @2 o
# ?7 d0 l0 s( Q, t七、安装过程中排错
& L& H( F/ c1 q/ l3 P
* s1 f7 o! D3 \: c) ?2 J7 H9 J1.缺少APXS会报错
, `, h% x  l! Y- U0 K- ^4 g
configure: looking for Apache module support via DSO through APXS
8 a2 Y2 ]8 \' ?3 B# {+ Wconfigure: error: couldn't find APXS
9 o% _0 _# ]9 z/ Z; C8 Papxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
7 `8 v/ F, [6 U. a( t2 d1 F解决方法：

/ Q( {* H! K8 R0 q0 yyum install httpd-devel
2.没有pcre
( Z7 A+ ]9 `$ @9 c) I1 E. W0 C6 N
configure: *** pcre library not found.
  f! y& x% g; K+ A* iconfigure: error: pcre library is required
解决方法：
$ _* u6 \1 d/ r2 f% ^
3 o+ X, @, z/ M' c0 U& |yum install pcre pcre-devel
3.没有libxml2
% ?$ v+ }+ f8 J% C# f! l4 s
9 g0 W1 W) ]- @
configure: *** xml library not found.
configure: error: libxml2 is required
6 h$ S/ \# R) j# N% U5 b解决方法：

* F& ]% W3 s$ M. R( k3 G. }  ]yum install  libxml2 libxml2-devel
4.执行 /opt/tengine/sbin/nginx -m 时有警告

  ]* c; U$ g2 y5 h# e3 j, r2 eTengine version: Tengine/2.1.0 (nginx/1.6.2)
9 `3 ]4 _6 `$ u; nnginx: [warn] ModSecurity: Loaded APR do not match with compiled!
. A4 _& U- Y0 @6 \% O4 t" g8 I原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
3 o' a* e/ w' L7 e2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
, l, T3 u2 i; S; l$ x: d4 q2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
解决方法，移除低版本的APR (1.3.9)
& r$ Q* [/ h3 H/ N) q
yum remove apr
5.Error.log中有: Audit log: Failed to lock global mutex
% t2 g5 u$ B" A" [
$ Y9 u3 c# p9 y3 B8 `2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
global mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
& M! x  \* X! k' T8 ]9 U, Z解决方法：
! L" G/ o& d! a# ^编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
( a$ J$ O* B2 C0 M$ x% ~
, R( p/ O1 k" s& g% n! F5 ]SecAuditLogDirMode 0777
/ g' j( K. F5 X7 G- q$ ?. BSecAuditLogFileMode 0550
1 }2 C9 H/ k$ Y% LSecAuditLogStorageDir /var/log/modsecurity
; _2 m; ]/ F" V" f; I$ l8 zSecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
http://drops.wooyun.org/tips/2614