中间件安全之Nginx

最新推荐文章于 2024-06-27 17:27:24 发布
最新推荐文章于 2024-06-27 17:27:24 发布
阅读量141 收藏
点赞数 1
分类专栏： 中间件安全 文章标签： 安全漏洞 安全 网络安全 中间件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46085232/article/details/116649454
版权

中间件按安全

Nginx

Nginx是一款轻量级的Web 服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器，在BSD-like 协议下发行。其特点是占有内存少，并发能力强，事实上nginx的并发能力确实在同类型的网页服务器中表现较好。

配置安全

CRLF注入漏洞

Nginx会将$uri进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞。（这个可以参考我之前写的）

特定漏洞

解析漏洞

其实这个也属于用户配置不当造成的漏洞，所以跟版本无关。
判定是否存在该漏洞，直接访问一个存在的图片地址，在图片地址后加上不存在的php文件（如1.php、.php），返回乱码，则漏洞存在。
在这里插入图片描述

最低0.47元/天 解锁文章
把小海蒂的名字还给我（师从小迪渗透）
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
Nginx 安全控制 HTTP 和 HTTPS
yueerba126的博客
10-13 215
虽然 HTTP 在某些不涉及敏感信息的场景中仍然有其适用之处，但鉴于现代对隐私和安全的关注，强烈建议尽可能使用 HTTPS。多数现代浏览器也都会为 HTTP 网站显示警告，提示用户其不安全性。
中间件安全—Nginx常见漏洞
剁椒鱼头没剁椒的博客
02-21 4277
在上篇中间件安全—Apache常见漏洞中，并未对中间件漏洞进行解释，这里补充一下。
nginx浏览器开启密码验证
曾沂宏的博客
02-24 633
如果我们在 nginx 下搭建了一些站点，但是由于站点内容或者流量的关系，我们并不想让所有人都能正常访问，那么我们可以设置访问认证。只有让用户输入正确的用户名和密码才能正常访问。效果如下： 在 nginx 下，提供了 ngx_http_auth_basic_module 模块实现让用户只有输入正确的用户名密码才允许访问web内容。默认情况下，nginx 已经安装了该模块。所以整体的一个过程就...
Nginx中间件安全基线配置与操作指南
Bird&Bird
10-19 2885
1、日志配置 安全基线项目名称 Nginx日志审计安全基线要求项 安全基线编号 Nginx-001 安全基线项说明 配置Nginx日志记录和审核 设置操作步骤 (1)编辑 nginx.conf 配置文件 将 error_log 前的“#”去掉，记录错误日志； 将 access_log 前的“#”去掉，记录访问日志。 (2)
web服务器/中间件漏洞系列5：nginx漏洞汇总
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
12-01 5891
复现环境: vulhub docker —> nginx 一、错误配置导致的漏洞 1、CRLF注入漏洞 漏洞原理： CRLF是”回车+换行”(\r\n)的简称,其十六进制编码分别为0x0d和0x0a。在HTTP协议中,HTTP header与HTTP Body是用两个CRLF分隔的,浏览器就是根据这两个CRLF来取出HTTP内容并显示出来。所以,一旦我们能够控制HTTP消息头中的字符,注入一些恶意的换行,这样我们就能注入一些会话Cookie或者HTML代码。CRLF漏洞常出现在Location与S.
【中间件安全】Nginx 安全加固规范.pdf
03-15
【中间件安全】Nginx 安全加固规范
centos7.6部署Nginx1.1.18中间件SSL加密证书改造步骤
10-27
在本文中，我们将深入探讨如何在CentOS 7.6操作系统上部署Nginx 1.18.18中间件，并实现SSL加密证书的改造，以确保网站通信的安全性。这一过程涉及到Linux系统管理、Nginx配置、SSL证书的申请与导入等多个环节。 ...
Nginx入门到实践－Nginx中间件 web服务、代理，应用层负载均衡、应用层安全防护、 Nginx+Lua，动静分离，全面系统的Nginx课程
05-23
Nginx中间件，不局限于业务逻辑，有效 独立于后台开发框架（不论后端是Java开 发、PHP开发、或者其他语言框架） 都能做到平台通用 3.原理性 不仅重实践、也会结合原理（如:Http协 议、操作系统），让你理解背后的...
中间件合集（包含常用IIS，Nginx，Apache等）.pdf
04-11
Web中间件常见问题，一个集合
Tomcat、Apache、Nginx、IIS、Weblogic中间件等保测评作业指导书V1.1
07-26
等保常见中间件测评指导书（供参考），也可作为中间件加固参考使用
中间件漏洞总结-Nginx-Tomcat
告白的博客
02-19 3322
**1.CRLF漏洞** crlf就是换行回车的意思，当在数据包中加入换行回车的url编码，会被解析导致当前数据换行回车而出现在下一列，可以配合触发xss等漏洞
中间件渗透
tryhard_go的博客
11-15 429
IIS7.5文件路径解析漏洞 IIS短文件名机制 dir /x 短文件名猜解： 在C:\Inetpub\wwwroot创建一个aaaaaaaaaa.html文件 外部访问：进行猜解ip/~1***/a.aspx 修复 打开注册表：regedit 漏洞修复 1、升级.net framework 2、修改注册表键值： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControl...
更改 Nginx 服务的默认用户& 关于linux下的nobody用户
Arlingtonroad的博客
09-17 4806
更改 Nginx 服务的默认用户 <nginx.conf> nginx用户权限 在nginx.conf文件的第一行一般是设置用户的地方（编译安装nginx时的参数--user=<user>也是指定用户的地方），如 user www www; 如不指定nginx默认用户是nobody. 这里用户的设置又有什么意义呢？主要是指定执行nginx的worker process的用户，linux里所有程序都是文件，都具有权限问题，这个指定的用户对特定的文件有没有权限访问或执行，就是这个用户的意
更改 Nginx 服务的默认用户
dichengyan0013的博客
07-15 649
为什么要更改 Nginx 服务的默认用户：就像更改 ssh 的默认 22 端口一样，增加安全性，Nginx 服务的默认用户是 nobody ，我们更改为 nginx 1、添加 nginx 用户 useradd nginx -s /sbin/nologin -M 2、更改 Nginx 配置文件 [root@localhost ~]# vim /usr/local/n...
红队内网攻防渗透：内网渗透之内网对抗：横向移动篇&Kerberos&委派安全&非约束系&约束系&RBCD资源系&Spooler利用
HACKONE的博客
06-23 173
机器A（域控）访问具有非约束委派权限的机器B的服务，会把当前认证用户（域管用户）的的TGT放在ST票据中，一起发送给机器B，机器B会把TGT存储在lsass进程中以备下次重用。简而言之，非约束委派是指用户账户将自身的TGT转发给服务账户使用。委派是一种域内应用模式，是指将域内用户账户的权限委派给服务账号，服务账号因此能以用户的身份在域内展开活动（请求新的服务等），类似于租房中介房东的关系去理解。攻击者拿到了一台配置非约束委派的机器权限，可以诱导域管来访问该机器，然后得到管理员的TGT，从而模拟域管用户。
Python （Ansbile）脚本高效批量管理服务器和安全
最新发布
南宫乘风-Linux运维-虚拟化容器-Python编程 ownit.top
06-27 713
在现代 IT 基础设施中，管理大量服务器是一项复杂而繁琐的任务。特别是在检查服务器的存活状态以及 SSH 登录等任务上，手动操作非常耗时且容易出错。本文将介绍如何使用 Python 脚本实现对多台服务器的批量检查和管理，包括检查服务器是否在线，以及通过密码或 SSH 密钥登录服务器。paramiko：用于 SSH 登录。tqdm：用于显示进度条。：用于多线程处理。
WEB攻防【5】——JS项目/Node.js框架安全/识别审计/验证绕过
weixin_42090431的博客
06-27 127
JS开发的WEB应用和PHP、java.NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。网站检查网络下面加载了哪些js文件、以及js文件里面有没有嵌套别的js文件。一般有/static/js/app.j8 等顺序的js文件。2、开发框架-Vulhub-Node.JS安全。3、真实应用-APP应用直接重置密码。4、真实应用-违法彩彩文件上传安全。1、原生JS&开发框架-安全条件。4、如何获取更多的Js文件?2、流行的Js框架有那些?3、如何判定Js开发应用?5、如何快速获取价值代码?
聚焦从业人员疏散逃生避险意识能力提升，推动生产经营单位每年至少组织开展(疏散逃生演练，让全体从业人员熟知逃生通道、安全出口及应急处置要求，形成常态化机制。
dike8989的博客
06-27 430
万某、姚某、徐某3人被某劳务派遣公司派遣到一家公司工作一天公司为从业人员发放劳动防护用品，但没有给他们3人发公司负责人安某告诉他们说，由于你们没有建立劳动关系，不是正式员工，按照国家规定由劳务派遣单位为你们提供劳动防护用品徐某和他辩论说：“不对，你们应当把我们和其他人一样对待，提供劳动防护用品“见两人争执不下，万某劝徐某说：“算了，咱就是个临时工，不给咱发也说得过去”姚某说：“不给咱发也行，咱就干活几拿钱，他们那些规章制度咱也不用听“以上人员说法正确的是（）。A.徐某B.万某C.姚某。
nginx中间件解析漏洞的影响
06-10
Nginx 中间件解析漏洞是指攻击者利用 Nginx 中间件解析漏洞，通过构造恶意请求，从而绕过服务器的安全措施并执行任意代码。这种漏洞可以允许攻击者在服务器上执行任意的系统命令、读取、修改或删除服务器上的敏感...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值