Nginx 安全加固心得

转载 2016年08月24日 14:05:41

在此转载一篇关于Nginx安全加固的文章,本人没有这方面的经验,就参阅了别人的文章,对于Nginx安全加固可以有效提高Web应用的安全性能,博文地址:http://purplegrape.blog.51cto.com/1330104/1651656/

nginx发展多年,自身的安全漏洞比较少,发现软件漏洞,一般利用软件包管理器升级一下就好了。

本文侧重讲述的不是nginx自身的安全,而是利用nginx来加固web应用,干一些应用防火墙(WAF)干的活。

在做安全加固的时候,我们一定要头脑清晰,手里拿着刀,一刀一刀的切,将我们不想要的流量干掉,除去隐患。

1、屏蔽IP

假设我们的网站只是一个国内小站,有着公司业务,不是靠广告生存的那种,那么可以用geoip模块封杀掉除中国和美国外的所有IP。这样可以过滤大部分来自国外的恶意扫描或者无用访问。不用担心封杀了网络蜘蛛。主流的网络蜘蛛(百度/谷歌/必应/搜狗)已经包含在了我们的IP范围内了。如果是公网的登录后台,更应该屏蔽彻底一点。

if ( $geoip_country_code !~  ^(CN|US)$ ) {
        return 403;
}
(很多人担心geoip库不够准确,诚然,中国城市级别的IP段会有误差,但是国家级别的IP段一般是没有问题的,并且geoip库可以随时在线更新)

2、封杀各种user-agent

user-agent 也即浏览器标识,每个正常的web请求都包含用户的浏览器信息,除非经过伪装,恶意扫描工具一般都会在user-agent里留下某些特征字眼,比如scan,nmap等。我们可以用正则匹配这些字眼,从而达到过滤的目的,请根据需要调整。

if ($http_user_agent ~* "java|python|perl|ruby|curl|bash|echo|uname|base64|decode|md5sum|select|concat|httprequest|httpclient|nmap|scan" ) {
    return 403;
}
if ($http_user_agent ~* "" ) {
    return 403;
}

这里分析得不够细致,具体的非法user-agent还得慢慢从日志中逐个提取。

通过上面两个大招,相信你的日志里很快就会有大量的403记录。,我们接着干。

3、封杀特定的url

特定的文件扩展名,比如.bak

location ~* \.(bak|save|sh|sql|mdb|svn|git|old)$ {
rewrite ^/(.*)$  $host  permanent;
}
知名程序,比如phpmyadmin

location /(admin|phpadmin|status)  { deny all; }
4、封杀特定的http方法和行为,比如
if ($request_method !~ ^(GET|POST|HEAD)$ ) {
    return 405;
}
 
if ($http_range ~ "\d{9,}") {
    return 444;
}
5、强制网站使用域名访问,可以逃过IP扫描,比如
if ( $host !~* 'abc.com' ) {
    return 403;
}
6、url 参数过滤敏感字,比如
if ($query_string ~* "union.*select.*\(") { 
    rewrite ^/(.*)$  $host  permanent;
} 
 
if ($query_string ~* "concat.*\(") { 
    rewrite ^/(.*)$  $host  permanent;
}
7、强制要求referer
if ($http_referer = "" ) {
    return 403;
}

其它方法

8、封杀IP

定时做日志分析,手动将恶意IP加入iptables拒绝名单,推荐使用ipset模块。
yum install ipset
ipset create badip hash:net maxelem 65535
iptables -I INPUT -m set --match-set badip src -p tcp --dport 80 -j DROP
/etc/init.d/iptables save
ipset add badip 1.1.1.2
ipset add badip 2.2.2.0/24
/etc/init.d/ipset save

9、限速

适当限制客户端的请求带宽,请求频率,请求连接数,这里不展开论述。根据具体需求,阀值应当稍稍宽泛一点。特别要注意办公室/网吧场景的用户,他们的特点是多人使用同一个网络出口。

10、目录只读

如果没有上传需求,完全可以把网站根目录弄成只读的,加固安全。

做了一点小动作,给网站根目录搞了一个只读的挂载点。这里假设网站根目录为/var/www/html

mkdir -p /data
mkdir -p /var/www/html
mount --bind /data /var/www/html
mount -o remount,ro --bind /data /var/www/html
网站内容实际位于/data,网站内容更新就往/data里更新,目录/var/www/html无法执行任何写操作,否则会报错“Read-only file system”,极大程度上可以防止提权篡改。
11、定时总结和丰富过滤规则





20步打造最安全的Nginx Web服务器

转自网络 Nginx是一个轻量级的,高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU /linux,BSD 各种版本,Mac OS X,Solaris...

Nginx漏洞利用与安全加固

本文主要分为两大部分,第一部分介绍了Nginx的一些常见安全漏洞的形成原因、利用方法,并给出了相应的解决办法;第二部分介绍了Nginx安全加固时需要关注的主要内容。 Nginx(发音同engin...

linux系统下如何加固你的nginx和php程序系统的安全性 并且排查木马步骤

linux系统相对比windows安全,但是有些程序上的不安全行为。不管你是什么系统,一样也会存在危险因素,在这里,我们总结出了linux系统下的一些常见排除木马和加固系统安全性的方法。 1、改...

Delphi7高级应用开发随书源码

  • 2003年04月30日 00:00
  • 676KB
  • 下载

Tomcat安全加固

参考: http://netexr.blog.51cto.com/2480285/1259882升级到最新稳定版老生常谈从监听端口上加固仅在本地监听如果Tomcat不需要对外提供服务,则监听在本地回...

六招轻松搞定你的CentOS系统安全加固

六招轻松搞定你的CentOS系统安全加固 Redhat是目前企业中用的最多的一类Linux,而目前针对Redhat攻击的黑客也越来越多了。我们要如何为这类服务器做好安全加固工作呢...

nginx安全性配置

Nginx是一个轻量级的,高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU/Linux,BSD各种版本,Mac OS X,Solaris和Windows...

构建高效安全的Nginx Web服务器

一、为什么选择Nginx搭建Web服务器 Apache和Nginx是目前使用最火的两种Web服务器,Apache出现比Nginx早。Apache HTTP Server(简称Apache)是世界使用...

网站安全配置Nginx防止网站被攻击

网站安全配置(Nginx)防止网站被攻击(包括使用了CDN加速之后的配置方法)分类:服务器配置 标签:nginx 360网站卫士 CDN 10,216 views人浏览 网站被攻击是一个永恒不变的话...

Nginx优化实战--基本安全优化

1.调整参数隐藏Nginx软件版本号信息软件的漏洞都和版本有关。因此我们应尽量隐藏或消除Web服务对访问用户显示各类敏感信息(如Web软件名称及版本号等信息),这样恶意的用户就不会跟局软件版本漏洞来攻...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:Nginx 安全加固心得
举报原因:
原因补充:

(最多只允许输入30个字)