ginx发展多年，自身的安全漏洞比较少，发现软件漏洞，一般利用软件包管理器升级一下就好了。

本文侧重讲述的不是nginx自身的安全，而是利用nginx来加固web应用，干一些应用防火墙（WAF）干的活。

在做安全加固的时候，我们一定要头脑清晰，手里拿着刀，一刀一刀的切，将我们不想要的流量干掉，除去隐患。

1、屏蔽IP

假设我们的网站只是一个国内小站，有着公司业务，不是靠广告生存的那种，那么可以用geoip模块封杀掉除中国和美国外的所有IP。这样可以过滤大部分来自国外的恶意扫描或者无用访问。不用担心封杀了网络蜘蛛。主流的网络蜘蛛（百度/谷歌/必应/搜狗）已经包含在了我们的IP范围内了。如果是公网的登录后台，更应该屏蔽彻底一点。


[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ( $geoip_country_code !~  ^(CN|US)$ ) {  

  2.         return 403;  

  3. }  

（很多人担心geoip库不够准确，诚然，中国城市级别的IP段会有误差，但是国家级别的IP段一般是没有问题的，并且geoip库可以随时在线更新）


2、封杀各种user-agent

user-agent 也即浏览器标识，每个正常的web请求都包含用户的浏览器信息，除非经过伪装，恶意扫描工具一般都会在user-agent里留下某些特征字眼，比如scan，nmap等。我们可以用正则匹配这些字眼，从而达到过滤的目的，请根据需要调整。

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ($http_user_agent ~* "java|python|perl|ruby|curl|bash|echo|uname|base64|decode|md5sum|select|concat|httprequest|httpclient|nmap|scan" ) {  

  2.     return 403;  

  3. }  

  4. if ($http_user_agent ~* "" ) {  

  5.     return 403;  

  6. }  

这里分析得不够细致，具体的非法user-agent还得慢慢从日志中逐个提取。

通过上面两个大招，相信你的日志里很快就会有大量的403记录。，我们接着干。


3、封杀特定的url

特定的文件扩展名，比如.bak

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. location ~* \.(bak|save|sh|sql|mdb|svn|git|old)$ {  

  2. rewrite ^/(.*)$  $host  permanent;  

  3. }  

知名程序,比如phpmyadmin


[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. location /(admin|phpadmin|status)  { deny all; }  

4、封杀特定的http方法和行为，比如

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ($request_method !~ ^(GET|POST|HEAD)$ ) {  

  2.     return 405;  

  3. }  

  4.    

  5. if ($http_range ~ "\d{9,}") {  

  6.     return 444;  

  7. }  

5、强制网站使用域名访问，可以逃过IP扫描，比如

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ( $host !~* 'abc.com' ) {  

  2.     return 403;  

  3. }  

6、url 参数过滤敏感字,比如

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ($query_string ~* "union.*select.*\(") {   

  2.     rewrite ^/(.*)$  $host  permanent;  

  3. }   

  4.    

  5. if ($query_string ~* "concat.*\(") {   

  6.     rewrite ^/(.*)$  $host  permanent;  

  7. }  

7、强制要求referer

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. if ($http_referer = "" ) ｛  

  2.     return 403;  

  3. ｝  



其它方法

8、封杀IP

定时做日志分析，手动将恶意IP加入iptables拒绝名单，推荐使用ipset模块。

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. yum install ipset  

  2. ipset create badip hash:net maxelem 65535  

  3. iptables -I INPUT -m set --match-set badip src -p tcp --dport 80 -j DROP  

  4. /etc/init.d/iptables save  

  5. ipset add badip 1.1.1.2  

  6. ipset add badip 2.2.2.0/24  

  7. /etc/init.d/ipset save  

9、限速

适当限制客户端的请求带宽，请求频率，请求连接数，这里不展开论述。根据具体需求，阀值应当稍稍宽泛一点。特别要注意办公室/网吧场景的用户，他们的特点是多人使用同一个网络出口。

10、目录只读

如果没有上传需求，完全可以把网站根目录弄成只读的，加固安全。

做了一点小动作，给网站根目录搞了一个只读的挂载点。这里假设网站根目录为/var/www/html

[html] view plain copy 在CODE上查看代码片派生到我的代码片

  1. mkdir -p /data  

  2. mkdir -p /var/www/html  

  3. mount --bind /data /var/www/html  

  4. mount -o remount,ro --bind /data /var/www/html  

网站内容实际位于/data，网站内容更新就往/data里更新，目录/var/www/html无法执行任何写操作，否则会报错“Read-only file system”，极大程度上可以防止提权篡改。
11、定时总结和丰富过滤规则

1-11、转载连接http://blog.csdn.net/jy_he/article/details/52299884

、

12. 在配置文件中小心使用"if"
它是重写模块的一部分，不应该在任何地方使用。
“if”声明是重写模块评估指令强制性的部分。换个说法，Nginx的配置一般来说是声明式的。在有些情况下，由于用户的需求，他们试图在一些非重写指令内使用“if”，这导致我们现在遇到的情况。大多数情况下都能正常工作，但…看上面提到的。

看起来唯一正确的解决方案是在非重写的指令内完全禁用“if”。这将更改现有的许多配置，所以还没有完成。IfIsEvil：http://wiki.nginx.org/IfIsEvil

13. 将每个~ .php$请求转递给PHP
我们上周发布了这个流行指令的潜在安全漏洞介绍。即使文件名为hello.php.jpeg它也会匹配~ .php$这个正则而执行文件。
现在有两个解决上述问题的好方法。我觉得确保你不轻易执行任意代码的混合方法很有必要。
13.1 如果没找到文件时使用try_files和only(在所有的动态执行情况下都应该注意) 将它转递给运行PHP的FCGI进程。
13.2 确认php.ini文件中cgi.fix_pathinfo设置为0 (cgi.fix_pathinfo=0) 。这样确保PHP检查文件全名(当它在文件结尾没有发现.php它将忽略)
13.3 修复正则表达式匹配不正确文件的问题。现在正则表达式认为任何文件都包含".php"。在站点后加“if”确保只有正确的文件才能运行。将/location ~ .php$和location ~ ..*/.*.php$都设置为return 403;

14. 禁用autoindex模块
这个可能在你使用的Nginx版本中已经更改了，如果没有的话只需在配置文件的location块中增加autoindex off;声明即可。

15. 禁用服务器上的ssi (服务器端引用)
这个可以通过在location块中添加ssi off; 。

16. 关闭服务器标记
如果开启的话（默认情况下）所有的错误页面都会显示服务器的版本和信息。将server_tokens off;声明添加到Nginx配置文件来解决这个问题。

17. 在配置文件中设置自定义缓存以限制缓冲区溢出***的可能性

1

2

3

4

client_body_buffer_size 1K;

client_header_buffer_size 1k;

client_max_body_size 1k;

large_client_header_buffers 2 1k;

18. 将timeout设低来防止DOS***
所有这些声明都可以放到主配置文件中。

1

2

3

4

client_body_timeout 10;

client_header_timeout 10;

keepalive_timeout 5 5;

send_timeout 10;

19. 限制用户连接数来预防DOS***

1

2

limit_zone slimits $binary_remote_addr 5m;

limit_conn slimits 5;

20. 试着避免使用HTTP认证
HTTP认证默认使用crypt，它的哈希并不安全。如果你要用的话就用MD5（这也不是个好选择但负载方面比crypt好） 。

21 保持与最新的Nginx安全更新
转自：http://www.levigross.com/post/4488812448/10-tips-for-securing-nginx

个人觉得在防止DDOS***这方面，上面提到的第七第八没太大用处，特别是第八点，很扰乱用户体验度的。

12-21转载地址：http://www.ttlsa.com/nginx/10-tips-to-ensure-the-security-of-nginx/