Docker搭建ModSecurity开源Web防火墙(WAF)

### 如何在 Docker 中安装用于测试或防护 XSS 的工具 #### 使用 OWASP ZAP 进行 XSS 测试 OWASP Zed Attack Proxy (ZAP) 是一款广泛使用的开源 Web 应用程序安全扫描器，能够帮助检测多种漏洞，包括跨站脚本攻击（XSS）。通过 Docker 部署 OWASP ZAP 可以简化环境配置。 启动带有图形界面的 OWASP ZAP： ```bash docker run -u root --rm -it \ -v /tmp/.X11-unix:/tmp/.X11-unix \ -e DISPLAY=$DISPLAY \ -v $HOME/zap/wrk/:/home/zap/Desktop/workspace \ owasp/zap2docker-stable zap.sh -daemon -config api.key=mykeyhere -port 8090 ``` 此命令将创建一个交互式的 ZAP 实例并将其绑定到主机上的端口 8090[^1]。 #### 利用 ModSecurity 和 CRS 设置 WAF 来防御 XSS 攻击 ModSecurity 结合 Core Rule Set(CRS)，可以作为有效的 WAF 解决方案来抵御各种类型的攻击，特别是针对 XSS 的规则集非常全面。可以通过官方镜像快速部署该组合。 构建包含 ModSecurity 的 Nginx 容器： ```bash FROM nginx:latest RUN apt-get update && apt-get install libmodsecurity3 modsecurity-crs -y COPY ./nginx.conf /etc/nginx/nginx.conf EXPOSE 80 CMD ["nginx", "-g", "daemon off;"] ``` 其中 `./nginx.conf` 文件应定义好 ModSecurity 的基本配置以及加载默认规则集的位置[^3]。 #### 构建自定义的安全测试框架 Gotestwaf Gotestwaf 已经是一个专注于评估 web 应用防火墙效能的项目，在其基础上扩展功能使其支持特定于 XSS 的测试向量也是可行的选择之一。按照给定指令编译镜像并运行容器即可开始测试过程。 准备阶段执行如下 Shell 命令完成镜像制作与初步参数设定: ```bash docker build . --force-rm -t gotestwaf docker run -v ${PWD}/reports:/app/reports --network="host" gotestwaf --url=<EVALUATED_SECURITY_SOLUTION_URL> ``` 上述操作将会把当前目录下的 reports 文件夹挂载至容器内部路径 `/app/reports` 下，并指定网络模式为主机模式以便更好地模拟真实场景中的流量交换情况；最后指定了待测 URL 参数供后续自动化流程调用。