nginx配合modsecurity实现WAF功能

admin

modsecurity原本是Apache上的一款开源waf，可以有效的增强web安全性，目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，是保护和审核web安全的利器。

  Q. G8 Z) @. K/ U一.准备工作
3 i6 S( ]: t, h  J1 t: l! X
5 _/ K  a5 [: ]& G8 u系统：centos 6.5 64位、 tengine 2.1.0， modsecurity 2.8.0
; l, J8 u! @- d, k% k
( X3 [9 l. O& y  Otengine ： http://tengine.taobao.org/download/tengine-2.1.0.tar.gz
  f) c1 w( V# w! y
modsecurity for Nginx: https://www.modsecurity.org/tarball/2.8.0/modsecurity-2.8.0.tar.gz
) e/ I' c2 ~' o; _( T; I0 Q
% J: A1 R* y$ P6 G! n* W! O( O( yOWASP规则集： https://github.com/SpiderLabs/owasp-modsecurity-crs
9 n$ M! l/ n  G4 z, M* \) x
依赖关系：
tengine（nginx）依赖： pcre 、zlib、 openssl， 这三个包centos 6.5 系统源里都有：
" K, Y1 y4 c: p8 P9 ]+ s; l3 y
- g" {: e; \" A: O* Nyum install zlib zlib-devel openssl openssl-devel  pcre pcre-devel
$ t9 P7 S8 h4 U* O; t/ M" Hmodsecurty依赖的包：pcre httpd-devel libxml2 apr

: k6 q' W: R& V/ pyum install httpd-devel apr apr-util-devel apr-devel  pcre pcre-devel  libxml2 libxml2-devel
6 X. N! K" q8 K9 ~/ i! {: u2 {& N( c二.启用standalone模块并编译
* g9 G$ q) |/ S% H- b
下载modsecurity for nginx 解压，进入解压后目录执行：
" L' }) T8 _  Q: L: L
./autogen.sh
$ D, X& ~. ~+ h2 D/ z" h' E) C./configure --enable-standalone-module --disable-mlogc
make
* ^. K# s( m3 M7 I三.nginx添加modsecurity模块
6 T8 Q" ~0 n& |( ?4 S; {7 W
在编译standalone后，nginx编译时可以通过"--add-module"添加modsecurity模块：

./configure --add-module=/root/modsecurity-2.8.0/nginx/modsecurity/  --prefix=/opt/tengine
make && make install
) [, X8 H' O# B四.添加规则

! D5 M" {3 E7 |5 L* Lmodsecurity倾向于过滤和阻止web危险，之所以强大就在于规则，OWASP提供的规则是于社区志愿者维护的，被称为核心规则CRS（corerules）,规则可靠强大，当然也可以自定义规则来满足各种需求。

1.下载OWASP规则：
/ ~. N3 u% j  q* ~$ c+ P
2 P" X- |, d. o  X. a1 jgit clone https://github.com/SpiderLabs/owasp-modsecurity-crs

mv owasp-modsecurity-crs /opt/tengine/conf/
+ Y" {/ ?. X1 p
1 x# H0 j: E. L8 rcd /opt/tengine/conf/owasp-modsecurity-crs && mv modsecurity_crs_10_setup.conf.example modsecurity_crs_10_setup.conf
2.启用OWASP规则：
* V' _/ p( B% i: L5 i% m  V/ f+ r
复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下，并将modsecurity.conf-recommended重新命名为modsecurity.conf。

. J% y# f9 n, b! L编辑modsecurity.conf 文件，将SecRuleEngine设置为 on
; k9 I" Z8 M$ U' J
owasp-modsecurity-crs下有很多存放规则的文件夹，例如base_rules、experimental_rules、optional_rules、slr_rules，里面的规则按需要启用，需要启用的规则使用Include进来即可。
" Y* X+ \, H( S- ~
Include owasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Include owasp-modsecurity-crs/base_rules/modsecurity_crs_41_sql_injection_attacks.conf
$ m. [7 V8 z4 A' r8 O* E) CInclude owasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
8 U: H4 L! C8 \. \8 ]Include owasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf
0 _$ u( ]2 s" U8 nInclude owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_dos_protection.conf
7 T* R8 F' Q" R. l, Z+ A' {Include owasp-modsecurity-crs/experimental_rules/modsecurity_crs_11_brute_force.conf
  Y7 i, ^9 ~9 Z! z# h0 I% LInclude owasp-modsecurity-crs/optional_rules/modsecurity_crs_16_session_hijacking.conf
五.配置nginx
6 b) M8 ]7 X0 I5 z$ x  T
在需要启用modsecurity的主机的location下面加入下面两行即可：
5 Y2 L# B8 ?* N% Y6 s1 g2 [' d
( R( D0 s. u* c( X1 R$ N4 \ModSecurityEnabled on;  
ModSecurityConfig modsecurity.conf;
# F5 C! s& v, h( G6 v; O+ r+ x下面是两个示例配置，php虚拟主机：

server {
/ Y+ p( _4 e5 d3 X      listen      80;
      server_name 52os.net www.52os.net;
' \' i2 Y' F7 G) ^" _0 q     
      location ~ \.php$ {
      ModSecurityEnabled on;  
      ModSecurityConfig modsecurity.conf;
! e3 [$ b) v6 I3 f! A) {5 L
      root /web/wordpress;
      index index.php index.html index.htm;
8 J! |( S6 t% e- d/ B  
      fastcgi_pass   127.0.0.1:9000;
      fastcgi_index  index.php;
( G( G. u# {+ b      fastcgi_param  SCRIPT_FILENAME  $Document_root$fastcgi_script_name;
      include        fastcgi_params;
1 i8 W( N3 w4 p) x      }
- g8 F! ^6 ]5 u5 d) O0 g) o# }  h  }
% J8 U$ S; Y$ R! N( l* ]upstream负载均衡：

upstream 52os.net {
    server 192.168.1.100:8080;
  C! @" L; b! L# H1 e    server 192.168.1.101:8080 backup;
; |) d$ m" f( r8 L/ y  G, v}

, s9 I* S8 x" o0 y% B) fserver {
listen 80;
! s' Y% M3 r$ j; x) U$ S! \# Xserver_name 52os.net www.52os.net;
) j8 Y6 w" V6 Z3 Y
# Z* B3 t' X( Rlocation / {
    ModSecurityEnabled on;  
    ModSecurityConfig modsecurity.conf;  
) r! q7 |2 c. ]3 n5 T
        proxy_pass http://online;
        proxy_redirect         off;
# d3 I# }! i& g0 c/ N9 }        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
' o2 U) D% p4 d1 J+ Z        proxy_set_header  X-Forwarded-For $proxy_add_x_forwarded_for;
- J5 m9 M8 j. k" O    }
}
- A0 D. k7 i/ j9 n) E8 ~+ P+ {/ u六.测试
* o9 K( x+ }5 {3 G# T' q! d
我们启用了xss和sql注入的过滤，不正常的请求会直接返回403。以php环境为例，新建一个phpinfo.php内容为：

<?php
: w' ^4 i# K# W    phpinfo();   
?>
在浏览器中访问：
* m- z! @# a0 [1 A3 b' C
( G  x7 a) ^7 A. e( P5 }http://www.52os.net/phpinfo.php?id=1 正常显示。
9 j( r% D2 C3 W) k1 Ohttp://www.52os.net/phpinfo.php?id=1 and 1=1  返回403。
8 N" j% e& o' xhttp://www.52os.net/phpinfo.php?search=<scritp>alert('xss');</script>  返回403。
说明sql注入和xss已经被过滤了

3 a6 k, E* g6 B5 t+ ?七、安装过程中排错
% F5 V1 C: A0 `( @7 b- \/ z  c
1.缺少APXS会报错

configure: looking for Apache module support via DSO through APXS
  B2 K, `! S1 m1 E' q9 P0 p' ?! e0 `# }configure: error: couldn't find APXS
0 G) w6 }+ L* \6 Y$ U$ S6 O  xapxs是一个为Apache HTTP服务器编译和安装扩展模块的工具，用于编译一个或多个源程序或目标代码文件为动态共享对象。
解决方法：
, m7 L' q& K, ^6 D$ O$ ]# f8 P
yum install httpd-devel
* Q; J) D3 a. `. h1 v, \2.没有pcre
+ P7 c$ }) w- r* j/ S2 ]  M) f
configure: *** pcre library not found.
configure: error: pcre library is required
解决方法：

( L) ^+ Q" c$ ]/ _% F9 c' j0 @% ?yum install pcre pcre-devel
  w+ M6 n. ?7 g; V3.没有libxml2


configure: *** xml library not found.
. s( \1 _4 m% w' L. [; uconfigure: error: libxml2 is required
解决方法：

: _+ ^# ~" ]" y- c/ K6 }% _, byum install  libxml2 libxml2-devel
4 W: i6 R% F+ |2 |4.执行 /opt/tengine/sbin/nginx -m 时有警告
* W# }7 C) {3 m$ Q" S, T8 P( o
Tengine version: Tengine/2.1.0 (nginx/1.6.2)
nginx: [warn] ModSecurity: Loaded APR do not match with compiled!
- ~' `' R/ i7 o2 Z& O1 g原因：modsecurity编译时和加载时的apr版本不一致造成的，并且会有以下error.log

8 E3 O8 v* Z) M: h, a4 N6 @2015/01/26 02:04:18 [notice] 29036#0: ModSecurity for nginx (STABLE)/2.8.0 () configured.
2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: APR compiled version="1.5.0"; loaded     version="1.3.9"
7 J' F. ?+ E% f1 e$ B4 Y8 \- }2015/01/26 02:04:18 [warn] 29036#0: ModSecurity: Loaded APR do not match with compiled!
  J  J) d% n9 P% l- D: d8 h2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: PCRE compiled version="7.8 "; loaded version="7.8 2008-09-05"
- I- u, m: ?! z9 O; y2015/01/26 02:04:18 [notice] 29036#0: ModSecurity: LIBXML compiled version="2.7.6"
1 J. N# [4 Q3 {: r* c1 X' D2015/01/26 02:04:18 [notice] 29036#0: Status engine is currently disabled, enable it by set SecStatusEngine to On.
7 e4 ^' e% c1 T5 C0 `$ E+ f解决方法，移除低版本的APR (1.3.9)
5 }$ [) E& V- s! \9 A: X: o. X
yum remove apr
1 a) W" ^" s% B5 p: ^5.Error.log中有: Audit log: Failed to lock global mutex

/ q  R5 w; y  G- O; x2015/01/26 04:15:42 [error] 61610#0: [client 10.11.15.161] ModSecurity: Audit log: Failed to lock     
" l/ @# o4 I+ P6 j9 Eglobal mutex: Permission denied [hostname ""] [uri "/i.php"] [unique_id "AcAcAcAcAcAcAcA4DcA7AcAc"]
; L/ y1 k4 c& z5 j解决方法：
0 Y# R& A3 U8 h  x3 q6 t/ Q( R0 m编辑modsecurity.conf，注释掉默认的SecAuditLogType和SecAuditLog，添加以下内容：
! [! U0 B* H# i
! k1 i1 j8 E$ g0 XSecAuditLogDirMode 0777
5 g- G8 t' r$ t# \SecAuditLogFileMode 0550
. K( l' {4 C1 m' D" H/ m3 a* WSecAuditLogStorageDir /var/log/modsecurity
SecAuditLogType Concurrent
参考文章：
https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual#Installation_for_NGINX
7 z; ~* B! l2 l" C- Ohttp://drops.wooyun.org/tips/2614