pentest 渗透测试 nginx配置

1. nginx 错误页面隐藏版本号
场景：部分系统服务器端返回的HTTP头中，泄露了服务器采用的中间件信息（类型，版本）nginx，apache，攻击者可以缩小攻击范围，针对中间件存在的漏洞发起攻击

修改：ngixn/bin/nginx.conf中在http或者server中添加如下配置

server_tokens off;
2. X-Frame-Options
　　这个header主要用来配置哪些网站可以通过frame来加载资源。它主要是用来防止UI redressing 补偿样式攻击。IE8和firefox 18以后的版本都开始支持ALLOW-FROM。chrome和safari都不支持ALLOW-FROM，但是WebKit已经在研究这个了。

X-Frame-Options 响应头有三个可选的值：

DENY：页面不能被嵌入到任何iframe或frame中；

SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中；

ALLOW-FROM：页面允许frame或frame加载。

// 正确的设置

DENY – 禁止所有的资源（本地或远程）试图通过frame来加载其他也支持X-Frame-Options 的资源。  
SAMEORIGIN – 只允许遵守同源策略的资源（和站点同源）通过frame加载那些受保护的资源。  
ALLOW-FROM http://www.example.com – 允许指定的资源（必须带上协议http或者https）通过frame来加载受保护的资源。这个配置只在IE和firefox下面有效。其他浏览器则默认允许任何源的资源（在X-Frame-Options没设置的情况下）。 

// 通