Nginx服務(wù)器相關(guān)的一些安全配置建議
Nginx是當(dāng)今最流行的Web服務(wù)器之一。它為世界上7%的web流量提供服務(wù)而且正在以驚人的速度增長。它是個(gè)讓人驚奇的服務(wù)器，我愿意部署它。
下面是一個(gè)常見安全陷阱和解決方案的列表，它可以輔助來確保你的Nginx部署是安全的。
1. 在配置文件中小心使用"if"。它是重寫模塊的一部分，不應(yīng)該在任何地方使用。
“if”聲明是重寫模塊評(píng)估指令強(qiáng)制性的部分。換個(gè)說法，Nginx的配置一般來說是聲明式的。在有些情況下，由于用戶的需求，他們?cè)噲D在一些非重寫指令內(nèi)使用“if”，這導(dǎo)致我們現(xiàn)在遇到的情況。大多數(shù)情況下都能正常工作，但…看上面提到的。
看起來唯一正確的解決方案是在非重寫的指令內(nèi)完全禁用“if”。這將更改現(xiàn)有的許多配置，所以還沒有完成。
2. 將每個(gè)~ .php$請(qǐng)求轉(zhuǎn)遞給PHP。 我們上周發(fā)布了這個(gè)流行指令的潛在安全漏洞介紹。即使文件名為hello.php.jpeg它也會(huì)匹配~ .php$這個(gè)正則而執(zhí)行文件。
現(xiàn)在有兩個(gè)解決上述問題的好方法。我覺得確保你不輕易執(zhí)行任意代碼的混合方法很有必要。
- 如果沒找到文件時(shí)使用try_files和only(在所有的動(dòng)態(tài)執(zhí)行情況下都應(yīng)該注意) 將它轉(zhuǎn)遞給運(yùn)行PHP的FCGI進(jìn)程。
- 確認(rèn)php.ini文件中cgi.fix_pathinfo設(shè)置為0 (cgi.fix_pathinfo=0) 。這樣確保PHP檢查文件全名(當(dāng)它在文件結(jié)尾沒有發(fā)現(xiàn).php它將忽略)
- 修復(fù)正則表達(dá)式匹配不正確文件的問題?，F(xiàn)在正則表達(dá)式認(rèn)為任何文件都包含".php"。在站點(diǎn)后加“if”確保只有正確的文件才能運(yùn)行。將/location ~ .php$和location ~ ..*/.*.php$都設(shè)置為return 403;
3. 禁用autoindex模塊。這個(gè)可能在你使用的Nginx版本中已經(jīng)更改了，如果沒有的話只需在配置文件的location塊中增加autoindex off;聲明即可。
4. 禁用服務(wù)器上的ssi (服務(wù)器端引用)。這個(gè)可以通過在location塊中添加ssi off; 。
5. 關(guān)閉服務(wù)器標(biāo)記。如果開啟的話（默認(rèn)情況下）所有的錯(cuò)誤頁面都會(huì)顯示服務(wù)器的版本和信息。將server_tokens off;聲明添加到Nginx配置文件來解決這個(gè)問題。
6. 在配置文件中設(shè)置自定義緩存以限制緩沖區(qū)溢出攻擊的可能性。
client_header_buffer_size 1k;
client_max_body_size 1k;
large_client_header_buffers 2 1k;
7. 將timeout設(shè)低來防止DOS攻擊。所有這些聲明都可以放到主配置文件中。
client_header_timeout 10;
keepalive_timeout 5 5;
send_timeout 10;
8. 限制用戶連接數(shù)來預(yù)防DOS攻擊。
limit_conn slimits 5;
9. 試著避免使用HTTP認(rèn)證。HTTP認(rèn)證默認(rèn)使用crypt，它的哈希并不安全。如果你要用的話就用MD5（這也不是個(gè)好選擇但負(fù)載方面比crypt好） 。
10. 保持與最新的Nginx安全更新。
相關(guān)文章
Nginx配置多個(gè)端口進(jìn)行監(jiān)聽的實(shí)現(xiàn)
隨著容器的應(yīng)用越來越多,將nginx部署在容器中也是常有之事,本文主要介紹了Nginx配置多個(gè)端口進(jìn)行監(jiān)聽的實(shí)現(xiàn),文中通過示例代碼介紹的非常詳細(xì),需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2024-07-07
Centos7.3 安裝部署Nginx并配置https的方法步驟
這篇文章主要介紹了Centos7.3 安裝部署Nginx并配置https的方法步驟，文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2019-04-04
詳解在使用CDN加速時(shí)Nginx獲取用戶IP的配置方法
這篇文章主要介紹了在使用CDN加速時(shí)Nginx服務(wù)器獲取用戶IP的方法,文中針對(duì)PHP站點(diǎn)環(huán)境舉例來講,需要的朋友可以參考下2016-02-02
這篇文章主要介紹了nginx反向代理踩過的坑及解決方案,具有很好的參考價(jià)值,希望對(duì)大家有所幫助,如有錯(cuò)誤或未考慮完全的地方,望不吝賜教2023-12-12
本文主要介紹了Nginx雙機(jī)熱備的實(shí)現(xiàn)步驟,是國內(nèi)企業(yè)中最為普遍的一種高可用方案,具有一定的參考價(jià)值,感興趣的可以了解一下2024-05-05
這篇文章主要介紹了Nginx解析漏洞復(fù)現(xiàn),這個(gè)漏洞其實(shí)是由php.ini中cgi.fix pathinfo選項(xiàng)與php-fpm的配置一起導(dǎo)致的,防范的話,只需在php-fpm配置文件中設(shè)置security.limit_extensions=.php,重啟一下服務(wù)即可,本文講解的非常詳細(xì),需要的朋友可以參考下2024-01-01
Nginx中使用Lua腳本與圖片的縮略圖處理的實(shí)現(xiàn)
本文主要介紹了Nginx中使用Lua腳本與圖片的縮略圖處理的實(shí)現(xiàn)，文中通過示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2022-03-03
nginx+tomcat實(shí)現(xiàn)Windows系統(tǒng)下的負(fù)載均衡搭建教程
下面小編就為大家分享一篇nginx+tomcat實(shí)現(xiàn)Windows系統(tǒng)下的負(fù)載均衡搭建教程，具有很好的參考價(jià)值，希望對(duì)大家有所幫助2017-12-12
從年前電腦換成linux系統(tǒng)后就沒寫東西，最近有點(diǎn)懶，在這里講述下nginx alias 功能，不是server alias2012-11-11
實(shí)現(xiàn)Nginx中使用PHP-FPM時(shí)記錄PHP錯(cuò)誤日志的配置方法
最近在本地搭建的LNMP的開發(fā)環(huán)境。為了開發(fā)的時(shí)候不影響前端的正常開發(fā)就屏蔽的PHP里面php.ini中的一些錯(cuò)誤提示。但是這樣一來，就影響到了后端開發(fā)的一些問題比如不能及時(shí)調(diào)試開發(fā)中的一些問題2014-05-05