Nginx的配置与开发学习(八)：安全与架构

Nginx安全

常见的恶意行为

1. 常见的恶意行为
   • 爬虫行为和恶意抓取，资源盗用
   • 基础防盗链功能–目的不让恶意用户能轻易的爬取网站对外数据
   • secure_link_module —对数据安全性提高加密验证和失效性，适合如核心重要数据
   • access_module --对后台，部分用户服务的数据提供IP防控

常见的应用层攻击手段

1. 常见的攻击手段

   • 后台密码撞库–通过猜测密码字典不断对后台系统登陆性尝试，获取后台登录密码

     1. 后台登陆密码复杂度
     2. access_module -对后台提供IP防控
     3. 预警机制

   • 文件上传漏洞–利用这些可以上传的接口将恶意代码植入到服务器中，再通过url去访问以执行代码

     www.baidu.com/upload/1.jpg/1.php: Nginx 将1.jpg作为php代码执行

     location ^~ /upload{
         root /opt/app/images;
         if($request_filename ~*(.*)\.php){
             return 403;
         }
     }
     

   • SQL注入–利用未过滤/未审核用户输入的攻击方法，让应用运行本不应该运行的SQL代码

     用户名：' or 1=1#
     

Nginx+Lua的安全WAF防火墙

• Nginx+LUA可以拦截Cookie类型攻击，异常请求POST请求，cc攻击，URL，arg
• github地址

基于Nginx的中间件架构

了解需求

1. 定义Nginx在服务体系中的角色
   • 静态资源服务
   • 代理服务
   • 动静分离
2. 静态资源服务的功能涉及
   • 静态资源类型分类
   • 浏览器缓存及时间
   • 防盗链的设置
   • 流量的限制
   • 防资源的盗用
   • 静态资源的压缩
3. 代理服务
   • 协议类型：流媒体，邮件，websocket代理
   • 正向代理
   • 反向代理
   • 负载均衡
   • 代理缓存及时间
   • 头信息处理：自定义的行为状态，remote_addr
   • LNMP
   • 分片请求
   • Proxypass

设计评估

1. 硬件：CPU,内存，硬盘
2. 系统：用户权限，日志目录存放
3. 关联服务：LVS,keepalive,syslog,Fastcgi
4. 配置注意事项：合理配置，了解原理，关注日志