如何使用ModSecurity WAF 来保护Windows IIS - 安装

桃扇骨 2023-09-28 19:49 8阅读 0赞

#### **前言** ####

以前在IIS 7 时，有使用UrlScan 这个WAF 来保护IIS，但目前UrlScan 已无法用在IIS 10 上面。  
所以可以改使用**ModSecurity**，以下介绍如何在Windows 2019 有IIS 的Web Server 上安装启用ModSecurity 。

#### **实作** ####

1.确定IIS 已安装。

2.安装ModSecurity  
请到[ModSecurity Release][]  
下载ModSecurityIIS\_2.9.4-64b.msi 安装。

![d5002fdfb087b9e1e861f7484f7f795f.png][]

![0e4b4ece8be9578369c4746084f0b9be.png][]

3.启用ModSecurity  
预设ModSecurity 是安装在C:\\Program Files\\ModSecurity IIS 目录。  
3.1.到C:\\inetpub\\wwwroot 目录建立一个**modsecurity**的目录，  
3.2.将C:\\Program Files\\ModSecurity IIS 目录中的modsecurity.conf, modsecurity\_iis.conf 及unicode.mapping 复制到C:\\inetpub\\wwwroot\\modsecurity 目录。  
3.3.修改C:\\inetpub\\wwwroot\\web.config ，启用ModSecurity 的设定，如下，

<?xml version="1.0" encoding="UTF-8"?>
    <configuration>
        
        <system.webServer>
            <ModSecurity enabled="true" configFile="c:\inetpub\wwwroot\modsecurity\modsecurity_iis.conf" />
        </system.webServer>
    </configuration>

预设ModSecurity 是侦测模式，所以请将它改成启用，修改c:\\inetpub\\wwwroot\\modsecurity\\modsecurity.conf  
将SecRuleEngine DetectionOnly 改成**SecRuleEngine On**，  
并在最后一行加上验证的Rule 如下，

SecRule ARGS:testparam "test" "id:1234,deny,status:403,msg:'Our test rule has triggered'"

Rule是说，如果QueryString 的参数为testparam 而且它的值为test ，就会被ModSecurity 拒绝，并回传403。

4.重启IIS，查看**事件检视器**中**应用程式**中的ModSecurity 是否有无错误(如果没看到，可以直接用Browser 连http://localhost)。

![0c242e6772f206779068e35020caf647.png][]

5.测试Rule 1234 是否会被挡。  
开启Browser 连[http://localhost/?testparam=test][http_localhost_testparam_test]，就可以发现，网页会被ModSecurity 给挡住了

![f79bc750199fa3b98331028d95ed0871.png][]

#### **参考资源** ####

[ModSecurity 手册][ModSecurity]  
[最新支持的 Visual C++ 下载][Visual C_]

[ModSecurity Release]: https://github.com/SpiderLabs/ModSecurity/releases
[d5002fdfb087b9e1e861f7484f7f795f.png]: https://img-blog.csdnimg.cn/img_convert/d5002fdfb087b9e1e861f7484f7f795f.png
[0e4b4ece8be9578369c4746084f0b9be.png]: https://img-blog.csdnimg.cn/img_convert/0e4b4ece8be9578369c4746084f0b9be.png
[0c242e6772f206779068e35020caf647.png]: https://img-blog.csdnimg.cn/img_convert/0c242e6772f206779068e35020caf647.png
[http_localhost_testparam_test]: http://localhost/?testparam=test
[f79bc750199fa3b98331028d95ed0871.png]: https://img-blog.csdnimg.cn/img_convert/f79bc750199fa3b98331028d95ed0871.png
[ModSecurity]: https://www.feistyduck.com/library/modsecurity-handbook-free/online/index.html
[Visual C_]: https://support.microsoft.com/en-us/topic/the-latest-supported-visual-c-downloads-2647da03-1eea-4433-9aff-95f26a218cc0