Nginx+Modsecurity实现WAF

一.软件介绍

ModSecurity是一个免费、开源的Web（apache、nginx、IIS）模块，可以充当Web应用防火墙（WAF）。ModSecurity是一个入侵探测与阻止的引擎.它主要是用于Web应用程序所以也可以叫做Web应用程序防火墙.ModSecurity的目的是为增强Web应用程序的安全性和保护Web应用程序避免遭受来自已知与未知的攻击

OWASP是一个安全社区，开发和维护着一套免费的应用程序保护规则，这就是所谓OWASP的ModSecurity的核心规则集（即CRS）。ModSecurity之所以强大就在于OWASP提供的规则，可以根据自己的需求选择不同的规则，当然ModSecurity还有商用的规则

目前ModSecurity正在测试环境测试使用，以下操作是在nginx下添加modsecurity模块来实现WAF的安装配置步骤,

二.准备工作

系统版本：Centos6

Nginx/1.10.0 最新稳定版本:：http://nginx.org/download/nginx-1.10.0.tar.gz

ModSecurity/2.9.1最新稳定版本：https://www.modsecurity.org/tarball/2.9.1/modsecurity-2.9.1.tar.gz

OWASP规则集: https://github.com/SpiderLabs/owasp-modsecurity-crs

三.安装配置

3.1安装依赖包

# yum installgcc make libxml2 libxml2-devel httpd-devel pcre-devel curl-devel libtool �y

3.2编译modsecurity

# tar xfmodsecurity-2.9.1.tar.gz
# cd modsecurity-2.9.1
# ./autogen.sh
# ./configure--enable-standalone-module --disable-mlogc
# make

3.3 编译nginx并添加modsecurity模块

# tar xf nginx-1.10.0.tar.gz
# cd nginx-1.10.0
# ./configure --add-module=/root/modsecurity-2.9.1/nginx/modsecurity/  --prefix=/home/data/nginx
# make
# make install

3.4配置规则

3.4.1下载OWASP规则

# git clone https://github.com/SpiderLabs/owasp-modsecurity-crs
# cp -aowasp-modsecurity-crs /home/data/nginx/conf/
# cd/home/data/nginx/conf/owasp-modsecurity-crs/
# mv modsecurity_crs_10_setup.conf.examplemodsecurity_crs_10_setup.conf

 

3.3.2 启动owasp规则

复制modsecurity源码目录下的modsecurity.conf-recommended和unicode.mapping到nginx的conf目录下

#cpmodsecurity.conf-recommended unicode.mapping  /home/data/nginx/conf/
#cd/home/data/nginx/conf  &&  mv modsecurity.conf-recommended  modsecurity.conf

编辑modsecurity.conf 文件，将SecRuleEngine设置为 on,并添加规则

# vimmodsecurity.conf
SecRuleEngine On
# personal  rules
Includeowasp-modsecurity-crs/modsecurity_crs_10_setup.conf
Includeowasp-modsecurity-crs/base_rules/modsecurity_crs_41_xss_attacks.conf
Includeowasp-modsecurity-crs/base_rules/modsecurity_crs_40_generic_attacks.conf

注：规则根据自己的需求添加,base_rules中的sql攻击过滤规则在测试中有问题暂时没有启用

3.5 配置nginx

在nginx配置文件中 需要启用的server配置下添加以下两行，然后重启nginx服务

ModSecurityEnabledon;  
ModSecurityConfigmodsecurity.conf;

四.测试

4.1 Modsecurity模块启用前

4.2 Modsecurity模块启用后访问出现403错误

注：xss跨站攻击漏洞测试（此漏洞是阿里云发现）

 

五.规则集说明

5.1基础规则集

modsecurity_crs_20_protocol_violations.confHTTP协议规范相关规则

modsecurity_crs_21_protocol_anomalies.confHTTP协议规范相关规则

modsecurity_crs_23_request_limits.confHTTP协议大小长度限制相关规则

modsecurity_crs_30_http_policy.confHTTP协议白名单相关规则

modsecurity_crs_35_bad_robots.conf恶意扫描器与爬虫规则

modsecurity_crs_40_generic_attacks.conf常见的攻击例如命令执行，代码执行，注入，文件包含、敏感信息泄露、会话固定、HTTP响应拆分等相关规则

modsecurity_crs_41_sql_injection_attacks.confSQL注入相关规则（竟然有一条MongoDB注入的规则，很全）

modsecurity_crs_41_xss_attacks.confXSS相关规则

modsecurity_crs_42_tight_security.conf目录遍历相关规则

modsecurity_crs_45_trojans.confwebshell相关规则

modsecurity_crs_47_common_exceptions.confApache异常相关规则

modsecurity_crs_49_inbound_blocking.conf协同防御相关规则

modsecurity_crs_50_outbound.conf检测response_body中的错误信息，警告信息，列目录信息

modsecurity_crs_59_outbound_blocking.conf协同防御相关规则

modsecurity_crs_60_correlation.conf协同防御相关规则

5.2 SLR规则集

来自确定APP的PoC，不会误报，检测方法是先检查当前请求的文件路径是否出现在data文件中，若出现再进行下一步测试，否则跳过该规则集的检测

modsecurity_crs_46_slr_et_joomla_attacks.confJOOMLA应用的各种漏洞规则

modsecurity_crs_46_slr_et_lfi_attacks.conf各种APP的本地文件包含相关规则

modsecurity_crs_46_slr_et_phpbb_attacks.confPHPBB应用的各种漏洞规则

modsecurity_crs_46_slr_et_rfi_attacks.conf各种APP的远程文件包含相关规则

modsecurity_crs_46_slr_et_sqli_attacks.conf各种APP的SQL注入相关规则

modsecurity_crs_46_slr_et_wordpress_attacks.confWORDPRESS应用的各种漏洞规则

modsecurity_crs_46_slr_et_xss_attacks.conf各种APP的XSS相关规则

 

5.3可选规则集

modsecurity_crs_10_ignore_static.conf静态文件不过WAF检测的相关规则

modsecurity_crs_11_avs_traffic.confAVS（授权的漏洞扫描器）的IP白名单规则

modsecurity_crs_13_xml_enabler.conf请求体启用XML解析处理

modsecurity_crs_16_authentication_tracking.conf记录登陆成功与失败的请求

modsecurity_crs_16_session_hijacking.conf会话劫持检测

modsecurity_crs_16_username_tracking.conf密码复杂度检测

modsecurity_crs_25_cc_known.confCreditCard验证

modsecurity_crs_42_comment_spam.conf垃圾评论检测

modsecurity_crs_43_csrf_protection.conf与modsecurity_crs_16_session_hijacking.conf联合检测，使用内容注入动作append注入CSRF Token

modsecurity_crs_46_av_scanning.conf使用外部脚本扫描病毒

modsecurity_crs_47_skip_outbound_checks.confmodsecurity_crs_10_ignore_static.conf的补充

modsecurity_crs_49_header_tagging.conf将WAF规则命中情况配合Apache RequestHeader指令注入到请求头中，以供后续应用进一步处理

modsecurity_crs_55_marketing.conf记录MSN/Google/Yahoorobot情况

 

5.4实验性规则集

modsecurity_crs_11_brute_force.conf防御暴力破解相关规则

modsecurity_crs_11_dos_protection.conf防DoS攻击相关规则

modsecurity_crs_11_proxy_abuse.conf检测X-Forwarded-For是否是恶意代理IP，IP黑名单

modsecurity_crs_11_slow_dos_protection.confSlow HTTP DoS攻击规则

modsecurity_crs_25_cc_track_pan.conf检测响应体credit card信息

modsecurity_crs_40_http_parameter_pollution.conf检测参数污染

modsecurity_crs_42_csp_enforcement.confCSP安全策略设置

modsecurity_crs_48_bayes_analysis.conf使用外部脚本采取贝叶斯分析方法分析HTTP请求，区分正常与恶意请求

modsecurity_crs_55_response_profiling.conf使用外部脚本将响应体中的恶意内容替换为空

modsecurity_crs_56_pvi_checks.conf使用外部脚本检测REQUEST_FILENAME是否在osvdb漏洞库中

modsecurity_crs_61_ip_forensics.conf使用外部脚本收集IP的域名、GEO等信息

modsecurity_crs_40_appsensor_detection_point_2.0_setup.confAPPSENSOR检测设置文件