在此转载一篇关于Nginx安全加固的文章,本人没有这方面的经验,就参阅了别人的文章,对于Nginx安全加固可以有效提高Web应用的安全性能,博文地址:http://purplegrape.blog.51cto.com/1330104/1651656/
if ( $geoip_country_code !~ ^(CN|US)$ ) {
return 403;
}
(很多人担心geoip库不够准确,诚然,中国城市级别的IP段会有误差,但是国家级别的IP段一般是没有问题的,并且geoip库可以随时在线更新)
if ($http_user_agent ~* "java|python|perl|ruby|curl|bash|echo|uname|base64|decode|md5sum|select|concat|httprequest|httpclient|nmap|scan" ) {
return 403;
}
if ($http_user_agent ~* "" ) {
return 403;
}
location ~* \.(bak|save|sh|sql|mdb|svn|git|old)$ {
rewrite ^/(.*)$ $host permanent;
}
知名程序,比如phpmyadmin
location /(admin|phpadmin|status) { deny all; }
4、封杀特定的http方法和行为,比如
if ($request_method !~ ^(GET|POST|HEAD)$ ) {
return 405;
}
if ($http_range ~ "\d{9,}") {
return 444;
}
5、强制网站使用域名访问,可以逃过IP扫描,比如
if ( $host !~* 'abc.com' ) {
return 403;
}
6、url 参数过滤敏感字,比如
if ($query_string ~* "union.*select.*\(") {
rewrite ^/(.*)$ $host permanent;
}
if ($query_string ~* "concat.*\(") {
rewrite ^/(.*)$ $host permanent;
}
7、强制要求referer
if ($http_referer = "" ) {
return 403;
}
定时做日志分析,手动将恶意IP加入iptables拒绝名单,推荐使用ipset模块。
yum install ipset
ipset create badip hash:net maxelem 65535
iptables -I INPUT -m set --match-set badip src -p tcp --dport 80 -j DROP
/etc/init.d/iptables save
ipset add badip 1.1.1.2
ipset add badip 2.2.2.0/24
/etc/init.d/ipset save
10、目录只读
mkdir -p /data
mkdir -p /var/www/html
mount --bind /data /var/www/html
mount -o remount,ro --bind /data /var/www/html
网站内容实际位于/data,网站内容更新就往/data里更新,目录/var/www/html无法执行任何写操作,否则会报错“Read-only file system”,极大程度上可以防止提权篡改。
11、定时总结和丰富过滤规则