五个常见的 Nginx 配置错误

作为互联网上最常用的 Web 服务器之一，Nginx 因轻巧、模块化并且有对用户友好的配置格式而广受欢迎。一旦 Nginx 出现错误配置，那么你的网站就很危险。Detectify 分析了从 GitHub 下载的近 50000 个不重复的 Nginx 配置文件，发现了一些常见的错误配置：

根目录位置丢失

off-by-slash

不安全的变量使用

原始后端响应读取

merge_slashes设置为 off

根目录位置丢失

server {
    
    root /etc/nginx;

    location /hello.txt {
            try_files $uri $uri/ =404;
            proxy_pass http://127.0.0.1:8080/;
    }
}
复制代码

root 指令指定 Nginx 的根文件夹。在上面的示例中，根文件夹是/etc/nginx，这意味着我们可以访问该文件夹中的文件。上面的配置没有针对/ (location / {...})的位置，只有/hello.txt的位置。因此，root 指令会被设置为全局，这意味着对/的请求会将你带到本地路径/etc/nginx。

像GET /nginx.conf这样简单的请求都能显示存储在/etc/nginx/nginx.conf中 Nginx 配置文件的内容。如果将根设置为/etc，则对/nginx/nginx.conf的GET请求将显示配置文件。在某些情况下，访问者可能会访问其他配置文件、访问日志甚至 HTTP 基本身份验证的加密凭据。

在我们收集的近 50000 个 Nginx 配置文件中，最常见的根路径如下：

 经常配置错误的 Nginx 根路径

off-by-slash

server {
    
    listen 80 default_server;

    server_name _;

    location /static {
            alias /usr/share/nginx/static/;
    }

    location /api {
            proxy_pass http://apiserver/v1/;
    }
}
复制代码

这个配置错误指的是由于缺少一个斜杠，所以有可能沿路径上移一步。OrangeTsai 在 Blackhat 演讲 ““Breaking Parser Logi