ModSecurity网站防火墙安装教程加WEB防御规则设置

已于 2023-02-12 03:45:55 修改
阅读量2k 收藏 1
点赞数 1
文章标签： nginx php 网络安全 web安全 系统安全
于 2023-02-12 02:21:41 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012241616/article/details/128991345
版权

ModSecurity安装教程加核心防御规则

资源宝分享：www.httple.net

ModSecurity简介
ModSecurity-官网: ​​http://www.modsecurity.cn​​
ModSecurity是目前世界上使用最多的开源WAF产品，可谓是WAF界的鼻祖，跨平台的Web应用防火墙（WAF），被称为WAF界的“瑞士军刀”。它可以通过检查Web服务接收到的数据，以及发送出去的数据来对网站进行安全防护

功能介绍

SQL Injection (SQLi)：阻止SQL注入
Cross Site Scripting (XSS)：阻止跨站脚本攻击
Local File Inclusion (LFI)：阻止利用本地文件包含漏洞进行攻击
Remote File Inclusione(RFI)：阻止利用远程文件包含漏洞进行攻击
Remote Code Execution (RCE)：阻止利用远程命令执行漏洞进行攻击
PHP Code Injectiod：阻止PHP代码注入
HTTP Protocol Violations：阻止违反HTTP协议的恶意访问
HTTPoxy：阻止利用远程代理感染漏洞进行攻击
Sshllshock：阻止利用Shellshock漏洞进行攻击
Session Fixation：阻止利用Session会话ID不变的漏洞进行攻击
Scanner Detection：阻止黑客扫描网站
Metadata/Error Leakages：阻止源代码/错误信息泄露
Project Honey Pot Blacklist：蜜罐项目黑名单
GeoIP Country Blocking：根据判断IP地址归属地来进行IP阻断

下面来实战

准备一个纯洁系统，如果安装nginx先卸载
nginx 卸载

ps -ef | grep nginx
kill -9 pid

删除nginx文件夹whereis nginx

whereis nginx
rm -rf *

yum清理nginx

yum remove nginx

相关依赖安装

yum install -y wget epel-release
yum install -y gcc-c++ flex bison yajl yajl-devel curl-devel curl GeoIP-devel doxygen zlib-devel pcre-devel lmdb-devel libxml2-devel ssdeep-devel lua-devel libtool autoconf automake

Modsecurity 安装

cd /home/modsecurity
wget http://www.modsecurity.cn/download/modsecurity/modsecurity-v3.0.4.tar.gz
tar -zxvf modsecurity-v3.0.4.tar.gz
mv modsecurity-v3.0.4 /usr/local/modsecurity/modsecurity
sh build.sh
./configure
make
make install

请忽略 sh ​​​build.sh​​ 中有关的git错误：

fatal: Not a git repository (or any of the parent directories): .git

ModSecurity-nginx 安装
ModSecurity-nginx 下载地址:
https://github.com/SpiderLabs/ModSecurity-nginx

mkdir modsecurity-nginx
unzip ModSecurity-nginx-master.zip
mv ModSecurity-nginx-master /usr/local/modsecurity-nginx

nginx 安装

mkdir /home/nginx
cd /home/nginx
wget http://nginx.org/download/nginx-1.16.1.tar.gz
tar -zxvf nginx-1.16.1.tar.gz
cd nginx-1.16.1/
./configure --add-module=/usr/local/modsecurity-nginx
make
make install

nginx + ModSecurity-nginx 配置
在nginx的conf下创建文件夹modsecurity
并把 /usr/local/modsecurity/ 下的配置文件
modsecurity.conf-recommended > /usr/local/nginx/conf/modsecurity/modsecurity.conf 移动并重命名
unicode.mapping > /usr/local/nginx/conf/modsecurity

mkdir /usr/local/nginx/conf/modsecurity
cd /usr/local/modsecurity/
cp modsecurity.conf-recommended /usr/local/nginx/conf/modsecurity/modsecurity.conf
cp unicode.mapping /usr/local/nginx/conf/modsecurity

nginx.conf
在http或server节点中添加以下内容（在http节点添加表示全局配置，在server节点添加表示为指定网站配置）

    modsecurity on;
    modsecurity_rules_file /usr/local/nginx/conf/modsecurity/modsecurity.conf;

modsecurity.conf
SecRuleEngine DetectionOnly > SecRuleEngine On

#SecRuleEngine DetectionOnly
SecRuleEngine On

确保ModSecurity在记录审计日志时保存请求体IJ 改为 C

#SecAuditLogParts ABIJDEFHZ
SecAuditLogParts ABCDEFHZ

添加以下内容：

Include /usr/local/nginx/conf/modsecurity/crs-setup.conf
Include /usr/local/nginx/conf/modsecurity/rules/*.conf

配置防御规则文件
下载规则文件压缩包

cd /home/modsecurity
wget http://www.modsecurity.cn/download/corerule/owasp-modsecurity-crs-3.3-dev.zip
unzip owasp-modsecurity-crs-3.3-dev.zip
cd owasp-modsecurity-crs-3.3-dev

复制crs-setup.conf.example到/usr/local/nginx/conf/modsecurity/下并重命名为crs-setup.conf

cp crs-setup.conf.example /usr/local/nginx/conf/modsecurity/crs-setup.conf

复制rules文件夹到==/usr/local/nginx/conf/modsecurity/=
修改文件名称,去掉 .example
REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example
RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example

cp -r rules /usr/local/nginx/conf/modsecurity/
cd /usr/local/nginx/conf/modsecurity/rules
mv REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf.example REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf
mv RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf.example RESPONSE-999-EXCLUSION-RULES-AFTER-CRS.conf

重启nginx

/usr/local/nginx/sbin/nginx -c /usr/local/nginx/conf/nginx.conf

测试是否安装成功

可以清楚的看到后两条测试结果403，被拦截成功

在这里插入图片描述

Modsecurity的规则库生成的规则内容参考

Modsecurity规则库功能说明

  1. 请求的URI为“/admin”
  2. 描述为"测试"
  3. 请求方式为POST
  4. 请求体中的参数为“id”
SecRule REQUEST_FILENAME "@beginsWith /admin" "chain,msg:测试,phase:2,deny,nolog,auditlog,id:450003,t:lowercase"
SecRule REQUEST_METHOD "^(?:POST)$" "chain,t:none"
SecRule REQUEST_BODY "@containsWord  id" "t:lowercase"

0x01 Apache Cocoon Xml 注入 CVE-2020-11991
防御规则链如下：

  1. 规则设置请求方式为POST，在使用规则之前验证有效请求POST

  2. 规则设置访问路径为“/v2/api/product/manger/getInfo”

  3. 规则设置访问的数据传输的内容正则匹配是否存在系统字段

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'Apache Cocoon Xml Injection(CVE-2020-1191)',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/v2/api/product/manger/getInfo" "chain"
SecRule REQUEST_BODY:data "@rx (?!)system"

0x02 Apache Solr任意文件读取漏洞
防御规则链如下：

  1. 规则设置请求方式为GET，在使用规则之前验证有效请求GET

  2. 规则设置访问路径为“/solr/admin/cores？indexInfo=false&wt=json”

  3. 规则设置检测数据字段中有无文件参数

SecRule REQUEST_METHOD "^GET$" "chain,msg: 'Apache Solr 任意文件读取',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/solr/admin/cores?indexInfo=false&wt=json" "chain"
SecRule REQUEST_BODY:data "@rx /file\:/g"

0x03集群引擎V4.0 RCE
防御规则链如下：

  1. 规则设置请求方式为POST，在使用规则之前验证有效请求POST

  2. 规则设置访问路径为“/login”

  3. 规则设置检测请求体中有无用户名字段，并且检测是否存在特殊字符“$”

0x04 Atlassian Jira 信息泄露漏洞 CVE-2020-14181
防御规则链如下：

  1. 规则设置请求方式为GET，在使用规则之前验证有效请求GET

  2. 规则设置访问路径为“/secure/ViewUserHover.jspa”

  3. 规则设置检测请求体中有无用户名字段，以及匹配传入的参数用户名值

SecRule REQUEST_FILENAME "@beginWith /secure/ViewUserHover.jspa""chain,msg: 'Atlassian Jira information Link Attack(CVE-2020-14181)',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_METHOD "^GET$" "chain"
SecRule REQUEST_BODY "@containsWord username=[a-zA-Z_\-]+"

0x05 弹性搜索远程执行代码CVE-2014-3120

  1. 规则设置请求方式为POST，在使用规则之前验证有效请求POST

  2. 规则设置访问路径为“/_search？pretty”

  3. 规则设置访问的数据传输的内容正则匹配是否存在系统字段以及“command”等

SecRule REQUEST_FILENAME "@beginWith /_search?pretty""chain,msg: 'Elasticsearch Remote Code Execution RCE Attack(CVE-2020-14181)',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_METHOD "^POST$" "chain"
SecRule REQUEST_BODY:data "@rx (?!)system|(?!)command|(?!)size|(?!)query"

哆哆邮件系统RCE

  1. 规则设置请求方式为POST，在使用规则之前验证有效请求POST

  2. 规则设置访问路径为“/webadm/？q=moni_detail.do&action=gragh”

  3. 规则设置匹配data内容是否有linx的相关命令字符

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'Eyou Mail system RCE',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/webadm/?q=moni_detail.do&action=gragh" "chain"
SecRule REQUEST_BODY:data "@rx (?!)system|(?!)ls|(?!)cat|\{/"

F5 BIG-IP代码执行漏洞（CVE-2021-22986）
1.规则设置请求方式为POST，在使用规则之前验证有效请求POST

2.规则设置访问路径为“/mgmt/tm/util/bash”

3.规则设置匹配data内容是否有linx的相关命令字符command以及run等字符串以及“|”特殊字符

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'BIG-IP代码执行漏洞（CVE-2021-22986) Attack',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/mgmt/tm/util/bash" "chain"
SecRule REQUEST_BODY:data "@rx (?!)command|(?!)run|\|/"

GitLab Graphql邮箱信息泄露漏洞（CVE-2020-26413）
1.规则设置请求方式为POST，在使用规则之前验证有效请求POST

2.规则设置访问路径为“/api/graphql”

3.规则设置匹配data内容username以及email等字符串以及“{”特殊字符

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'GitLab Graphql information Link',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/api/graphql" "chain"
SecRule REQUEST_BODY:data "@rx (?!)username&(?!)eamil&\{/"

H3C IMC远程命令执行
1.规则设置请求方式为POST，在使用规则之前验证有效请求POST

2.规则设置访问路径为“imc/javax.faces.resource/dynamiccontent.properties.xhtml”

3.规则设置匹配data内容cmd

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'H3C IMC远程命令执行',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/imc/javax.faces.resource/dynamiccontent.properties.xhtml" "chain"
SecRule REQUEST_BODY:data "@rx (?!)cmd"

景和OAC6默认密码

1.规则设置请求方式为POST，在使用规则之前验证有效请求POST
2.规则设置访问路径为“/C6/Jhsoft.Web.login/AjaxForLogin.aspx”
3.规则设置匹配data内容存在base64（000000）即MDAwMDAw
4.（或者存在关键词类型=login&loginCode=YWRtaW4=&&pwd=MDAwMDAw）
5.或者正则匹配type=login&loginCode=YWRtaW4=&&pwd=MDAwMDAw

SecRule  REQUEST_METHOD "^POST$" "chain,msg: 'JingHe OA C6 Default password',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/C6/Jhsoft.Web.login/AjaxForLogin.aspx" "chain"
SecRule REQUEST_BODY "@containsWord type=login&loginCode=YWRtaW4=&&pwd=MDAwMDAw"

景河OA下载.asp文件读取

  1. 规则设置请求方式为GET，在使用规则之前验证有效请求GET
  2. 规则设置访问路径为“/C6/Jhsoft.Web.module/testbill/dj/download.asp？filename=/c6/web.config”
  3. 规则设置访问的参数文件名后面跟随的路径
  4. 设置规则只要读取文件就存在"."
SecRule  REQUEST_METHOD "^GET$" "chain,msg: 'JingHe OA download.asp File read',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/C6/Jhsoft.Web.login/AjaxForLogin.aspx" "chain"
SecRule REQUEST_BODY "@contains filename" "chain"
SecRule REQUEST_LINE "@rx (?!)filename\=\[a-Z.]+/"

极通EWEBS任意文件读取

  1. 规则设置请求方式为POST，在使用规则之前验证有效请求POST
  2. 规则设置访问路径为“/casmain.xgi”
  3. 规则设置匹配访问的data中参数Language_S的值匹配特殊字符“.”
  4. 规则设置匹配Language_S的值以…/开头
SecRule  REQUEST_METHOD "^POST$" "chain,msg: '极通EWEBS任意文件读取',severity:ERROR,deny,status:404,id:xxx"
SecRule REQUEST_URI "/casmain.xgi" "chain"
SecRule REQUEST_BODY "@cantains Language_S" "chain"
SecRule ARGS:/^\.\.\// Language_S

极通EWEBS phpinfo泄露

  1. 规则设置请求方式为GET，在使用规则之前验证有效请求GET
  2. 规则设置访问路径为“/testweb.php”
SecRule REQUEST_FILENAME "@beginWith /testweb.php" "chain,msg: '极通EWEBS phpinfo Link',severity:ERROR,deny,status:404,id:xxx"
SecRule  REQUEST_METHOD "^GET$"

金山V8任意文件读取

  1. 规则设置请求方式为GET，在使用规则之前验证有效请求GET
  2. 规则设置访问路径为“/htmltopdf/downfile.php？filename=downfile.php”
SecRule REQUEST_URI "/htmltopdf/downfile.php?filename=downfile.php" "chain,msg:'Kingsoft V8 Arbitrary file read',severity:ERROR,deny,status:404,id:xxx"
SecRule  REQUEST_METHOD "^GET$"

总结

这里只是一部分根据网上的POC自己根据规则自建的，当然，没有与之匹配的环境这个规则也是无法使用的，，，，。但是扩展的思路倒是很多，看自己怎么使用了！！！

云博客-资源宝
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 4
    评论
ModSecurity的规则
浅笑996的博客
10-26 5301
一、ModSecurity的规则 基本格式 SecRule VARIABLES OPERATOR ACTIONS SecRule：ModSecurity主要的指令，用于创建安全规则。 VARIABLES ：代表HTTP包中的标识项，规定了安全规则针对的对象。常见的变量包括：ARGS（所有请求参数）、FILES（所有文件名称）等。 OPERATOR：代表操作符，一般用来定义安全规则的匹配条件...
modsecurity实用安装部署
10-25
实用的modsecurity安装手册，详细介绍了安装过程的中遇到的问题。适合小白和初级人员。
学习Nginx（十三）：第三方模块ModSecurity的安装与规则配置
最新发布
Linux技术宅
05-24 934
ModSecurity是一个开源的、跨平台的Web应用防火墙（WAF），被称为WAF界的“瑞士军刀”。它可以通过检查Web服务接收到的数据，以及发送出去的数据来对网站进行安全防护。SQL Injection (SQLi)：阻止SQL注入Cross Site Scripting (XSS)：阻止跨站脚本攻击Local File Inclusion (LFI)：阻止利用本地文件包含漏洞进行攻击Remote File Inclusione(RFI)：阻止利用远程文件包含漏洞进行攻击。
ModSecurity开源WAF防火墙和控制面板安装教程
云博客_资源宝分享
10-15 367
ModSecurity开源WAF防火墙和控制面板安装教程
ModSecurity搭建过程（保姆级教学）
R.W.Y的博客
08-22 1192
ModSecurity 有一个默认的配置文件样本，样本路径为/etc/modsecurity/modsecurity.conf-recommended，我们将其复制到名为 modsecurity.conf 的配置文件，以启用和配置ModSecurity。ModSecurity在/usr/share/modsecurity-crs目录中设置了默认规则。要使新的规则对apache生效，我们使用vim编辑/etc/apache2/mods-enabled/security2.conf文件。
modSecurity规则学习（一）——配置文件
weixin_30905981的博客
03-13 1704
环境：modSecurity3.0，nignx1.13.8 modSecurity配置文件 1、nginx.conf 1 server { 2 listen 81; 3 modsecurity on; //启动modsecurity插件 4 location / { 5 modsecurity_r...
nginx下安装配置modsecurity waf防火墙（附完整编译、配置、排错、详细规则）
热门推荐
中年闰土的博客
07-01 24万+
ModSecurity是一个免费、开源的Apache模块，可以充当Web应用防火墙(WAF)。ModSecurity是一个入侵探测与阻止的引擎.它主要是用于Web应用程序所以也可以叫做Web应用程序防火墙.ModSecurity的目的是为增强Web应用程序的安全性和保护Web应用程序避免遭受来自已知与未知的攻击。目前已经支持nginx和IIS，配合nginx的灵活和高效，可以打造成生产级的WAF，...
Apache下ModSecurity的安装启用与配置
09-15
ModSecurity是一个开源的Web应用程序防火墙（WAF），它可以对HTTP流量进行实时监控和保护，通过执行一套预定义的规则，防止恶意攻击，如SQL注入、跨站脚本（XSS）、文件包含漏洞等。它能够作为Apache服务器的一个...
ModSecurityCRS：在Apache服务器上实现ModSecurity，核心规则集（CRS）。 ModSecurity，有时也称为Modsec，是一种开源Web应用程序防火墙。 使用Virtual Box在Ubuntu VM上安装并配置了ModSecurity
02-06
"ModSecurityCRS"是指ModSecurity的核心规则集，这是一套预定义的规则，用于检测和防御常见的Web应用攻击，如SQL注入、跨站脚本（XSS）、文件包含漏洞等。 在Apache服务器上部署ModSecurity和CRS，可以显著增强Web...
小白如何部署modsecurity.doc
04-23
ModSecurity 是一个强大的Web应用程序防火墙（WAF），它作为一道安全屏障，位于Web服务器和应用程序之间，旨在检测并防御针对Web应用的各种恶意攻击。这款工具能够识别并防止诸如SQL注入、跨站脚本（XSS）、远程文件...
nginx-modsecurity-ubuntu：适用于modsecurity-nginx的Ubuntu软件包
02-06
3. **ModSecurity规则**：解释ModSecurity的规则语言（CRS，Core Rule Set）以及如何自定义规则以适应特定的Web应用程序需求。 4. **编译与安装**：详细步骤指导如何从源代码编译和安装Nginx和ModSecurity，以及如何...
ModSecurity防护web应用 完全部署 详细文档
11-24
ModSecurity防护web应用 ModSecurity2.9.1 规则库ModSecurity-crs LAMP centos 6.8
ModSecurity中文使用手册
03-08
ModSecurity是一个WEB应用防火墙引擎，自身所提供的保护非常少。为了变得更有用些，ModSecurity必须启用规则配置。为了让用户能够充分利用ModSecurity离开方块，Breach Security, Inc.为ModSecurity 2.x提供了一套免费的认证规则集。和入侵检测及防御系统不一样，它们依赖于具体的签名过的已知漏洞，而这一核心规则却是为从网络应用中发现的不知名的漏洞提供一般的保护，通常这些漏洞大多数情况下都是自定义编码的。这一核心规则有了大量的评论，从而使得这些能够被用来做ModSecurity的部署向导。
ModSecurity中文安装帮助手册
12-06
ModSecurity中文安装帮助手册
CVE-2019-8449:针对Jira v2.1的CVE-2019-8449漏洞-v8.3.4
03-08
CVE-2019-8449 低于v8.3.4的Jira版本的CVE-2019-8449 Exploit CVSS得分： 5.0 漏洞类型：信息泄露身份验证：不需要受影响的版本： 2.1-8.3.4 发布日期： 2019-09-11 漏洞数据库： : 描述 版本8.4.0之前的Jira中的/ rest / api / latest / groupuserpicker资源允许远程攻击者通过信息泄露漏洞枚举用户名。 用法 python CVE-2019-8449.py 链接
详细部署modsecurity.docx
04-07
ModSecurity 是一个功能强大的开源 Web 应用程序防火墙（WAF），它可以在 Apache、IIS 和 Nginx 服务器上运行。这个由 Trustwave SpiderLabs 开发的工具能够通过分析 HTTP 流量，对各种针对 Web 应用的攻击提供实时...
ModSecurity规则库学习
慢慢来的博客
08-16 6340
OWASP ModSecurity Core Rule Set https://www.netnea.com/cms/core-rule-set-inventory/ 可以看到规则非常细， 整理分析文章：https://yq.aliyun.com/ziliao/5287 1、主要规则文件： REQUEST-910-IP-REPUTATION.conf（可疑IP匹配) REQUEST-9...
开源waf安装：modSecurity
qq_14902381的博客
04-12 548
ModSecurity是一个开源的、跨平台的Web应用防火墙（WAF），被称为WAF界的“瑞士军刀”。它可以通过检查Web服务接收到的数据，以及发送出去的数据来对网站进行安全防护。功能：SQL Injection (SQLi)：阻止SQL注入Cross Site Scripting (XSS)：阻止跨站脚本攻击Local File Inclusion (LFI)：阻止利用本地文件包含漏洞进行攻击Remote File Inclusione(RFI)：阻止利用远程文件包含漏洞进行攻击。
WAF简介以及ModSecurity安装
weixin_64655821的博客
09-28 1881
WAF简介以及ModSecurity安装
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

云博客-资源宝

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值