D11-Apache安装WAF+modsecurity

说明：

本文以Windows环境下的Apache安装mod\_security为例，介绍开源WAF产品的安装使用。
http://www.modsecurity.cn/
https://github.com/SpiderLabs/ModSecurity

常见问题：
https://wiki.bafangwy.com/doc/180/

# 一、WAF基本介绍

WAF全称Web Application Firewall，即Web应用防火墙。Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品，跟网络防火墙的作用不同。

WAF的使用场景：例如服务器中有些安全性比较差的应用程序，比如旧版的wordpress、discuz、phpwind等，审计和修改全部代码比较麻烦，这时候最好的办法就是通过部署WAF来实现安全防护。

WAF可以防护的常见风险包括：SQL注入、XSS、利用本地/远程文件包含漏洞进行攻击、PHP代码注入、黑客扫描网站、源代码/错误信息泄露等等。

目前市面上的WAF非常多，总体上可以分成3类：硬件型WAF（厂商安装）、云WAF（比如阿里云腾讯云华为云的WAF，购买服务）、软件型WAF（可以部署在Apache、Nginx等HTTP Server中，有很多开源的产品）。

# 二、下载mod_security

下载和安装Apache的步骤参考：《[D01-Windows安装phpstudy](https://wiki.bafangwy.com/doc/621/ "D01-Windows安装phpstudy")》。

如果使用phpstudy内置的Apache，Apache文件在Extensions目录下，如：

E:\phpstudy_pro\Extensions\Apache2.4.39

## 1、下载mod_security

下载mod_security，根据操作系统位数选择，win64是64位，win32是32位。

https://www.apachelounge.com/download/

![IMG_260](/media/202404//1713786255.269864.png)

解压mod_security-2.9.3-win64-VS16.zip，复制两个文件：

![fca20c90445b451b07159fc2b1770ff](/media/202404//1713786255.2826035.png)

![6995e90d4b12f0b00b03f6cf3283b7a](/media/202404//1713786255.2950501.png)

1）复制 `mod_security2.so` 到 `apache/modules` 文件夹
2）复制 `yajl.dl`l 到 `apache/bin` 文件夹

![IMG_261](/media/202404//1713786255.306503.png)

## 2、修改Aapche配置文件

修改 `Apache2.4.39\conf\httpd.conf`

主要修改内容（没有就加上，有就取消注释，放在相同的模块附近）：

取消注释：
`LoadModule security2_module modules/mod_security2.so`

下面添加一行：
`LoadModule unique_id_module modules/mod_unique_id.so`

![IMG_262](/media/202404//1713786255.3175075.png)

添加

`Include conf/modsecurity/*.conf`

![IMG_263](/media/202404//1713786255.329193.png)

## 3、修改modsecutiry配置文件

打开`mod_security-2.9.3-win64-VS16\mod_security-2.9.3\mod_security`

复制一个`modsecurity.conf-recommended`，改名为`modsecurity.conf`

在`Apache2.4.39\conf`下创建一个文件夹，命名为`modsecurity`

把`modsecurity.conf`放在`modsecurity`文件夹下

![](/media/202404//1713786255.3430789.png)

`modsecurity.conf` 修改/添加两行配置：
```
SecRuleEngine On
SecDefaultAction "deny,phase:2,status:403"
```

![IMG_264](/media/202404//1713786255.3548098.png)

此处含义是开启安全规则引擎，如果触发规则，默认防护措施是返回HTTP 403错误。

修改日志路径，否则Apache启动会报路径不存在的错误：

`SecAuditLog E:\phpstudy\_pro\Extensions\Apache2.4.39\logs\modsec\_audit.log`

![IMG_265](/media/202404//1713786255.365636.png)

因为没有`unicode.mapping`文件，这一行要注释
`#SecUnicodeMapFile unicode.mapping 20127`

![IMG_266](/media/202404//1713786255.378109.png)

# 三、添加owasp规则

## 1、下载规则文件

https://github.com/SpiderLabs/owasp-modsecurity-crs

![IMG_269](/media/202404//1713786255.3905833.png)

## 2、配置规则

解压`owasp-modsecurity-crs-3.2.0`，把`rules`文件夹复制到`Apache2.4.39\conf\modsecurity`目录下

复制`crs`根目录下的`crs-setup.conf.example`，重命名为`crs-setup.conf`，放在`Apache2.4.39\conf\modsecurity`目录下

![IMG_270](/media/202404//1713786255.402028.png)

## 3、修改httpd.conf

`Apache2.4.39\conf\httpd.conf`再添加下面这一行（第一行前面添加过了）：

`Include conf/modsecurity/rules/*.conf`

![IMG_271](/media/202404//1713786255.4130778.png)

## 4、重启Apache

所有配置修改完以后重启Apache。

## 5、测试注入

这时候尝试注入，返回phpstudy的403页面：

![IMG_272](/media/202404//1713786255.4240801.png)

sqlmap也无法注入：
```
sqlmap --purge  // （先清空缓存）
sqlmap.py -u http://localhost/school/url.php?id=1
```

![IMG_273](/media/202404//1713786255.4361777.png)

结果显示有75次 403 禁止访问的错误。

WAF用完了记得关掉！
如果渗透靶场的时候发现403，检查WAF。

`modsecurity.conf`修改为：`Off`，重启Apache以后，WAF关闭。
`SecRuleEngine Off`