簡介：在當今數(shù)字化時代，網(wǎng)絡安全至關重要。Nginx作為流行的Web服務器，不僅提供高性能，還具備強大的安全保障功能。然而，默認配置可能無法抵御所有安全威脅，因此對Nginx進行安全加固尤為重要。本文為系統(tǒng)管理員、開發(fā)者等提供詳盡的安全加固指南，涵蓋基礎到高級策略，包括隱藏版本號信息、限制敏感目錄訪問、啟用HTTPS、配置錯誤頁面、應用內(nèi)容安全策略（CSP）、設置正確文件權限、添加安全HTTP響應頭、限制連接數(shù)、配置IP白名單、優(yōu)化SSL配置、確保文件上傳安全、防止常見攻擊。通過這些措施，可以有效提升Nginx的安全性，保護網(wǎng)站和應用程序免受潛在威脅。

引言

在當今數(shù)字化的世界中，網(wǎng)絡安全已成為每一個組織和個人不可忽視的重要議題。作為最流行的Web服務器之一，Nginx不僅因為其高性能而被廣泛使用，還因為它能夠提供強大的安全保障。然而，默認配置下的Nginx可能無法抵御所有潛在的安全威脅。為了確保您的網(wǎng)站和應用程序能夠在互聯(lián)網(wǎng)上穩(wěn)健運行，對Nginx進行適當?shù)陌踩庸田@得尤為重要。

本文旨在為系統(tǒng)管理員、開發(fā)者以及任何對提升Nginx安全性感興趣的讀者提供一份詳盡的安全加固路線圖。我們將探討從基礎到高級的各種策略，包括但不限于正確的權限設置、限制對外暴露的信息、啟用加密連接、配置防火墻等關鍵措施。無論您是希望保護個人博客免受攻擊，還是為企業(yè)的在線服務構建堅固的防線，本文都將為您提供寶貴的實踐指導和技術支持。讓我們一起深入了解如何通過優(yōu)化Nginx配置來提高您的網(wǎng)絡環(huán)境的安全性吧。

隱藏版本號信息

默認情況下，Nginx會在HTTP響應頭中暴露其版本號。攻擊者可以利用這些信息來尋找特定版本的漏洞。通過在配置文件中的http、server或location塊內(nèi)添加server_tokens off;來關閉這個功能。

步驟

打開Nginx配置文件：通常位于/etc/nginx/nginx.conf或/usr/local/nginx/conf/nginx.conf，具體位置取決于你的安裝方式。

編輯配置文件：找到http塊，并在其中添加server_tokens off;指令。如果你有多個server塊，也可以在每個server塊中單獨設置這個選項，以確保它在整個服務器范圍內(nèi)生效。

保存并退出編輯器：完成修改后保存更改。

檢查配置語法：使用命令nginx -t來測試配置文件是否有語法錯誤。

重新加載Nginx：如果配置文件沒有問題，使用命令nginx -s reload來應用新的配置。

# nginx.conf 或者某個特定的 server 配置文件

http {
   
    # 其他配置...

    # 關閉版本信息顯示
    server_tokens off;

    # 更多其他配置...

    server {
   
        listen 80;
        server_name example.com;

        # 在 server 塊內(nèi)也可以設置 server_tokens
        # server_tokens off;

        location / {
   
            root /var/www/html;
            index index.html index.htm;
        }
    }
}

限制訪問敏感目錄

為了防止外部用戶訪問敏感資源，比如.htaccess文件或.git目錄，你可以使用Nginx的location塊和deny all;指令來實現(xiàn)。以下是如何配置的具體示例代碼以及一個實際案例說明。

下面的例子展示了如何在Nginx配置中添加規(guī)則以阻止對.git目錄和.htaccess文件的訪問：

server {
   
    listen 80;
    server_name example.com;

    # 根目錄設置
    root /var/www/html;

    # 禁止訪問.git目錄
    location ~ /.git {
   
        deny all;
    }

    # 禁止訪問.htaccess文件
    location ~ /.ht {
   
        deny all;
    }

    # 其他location配置...
}

在這個例子中，我們使用了正則表達式匹配來定位.git和.htaccess文件，并通過deny all;指令拒絕所有請求到這些資源的訪問。

假設你有一個基于Git版本控制的Web項目部署在你的服務器上，并且你不希望任何訪問者能夠看到.git目錄下的內(nèi)容，因為這可能包含敏感信息如提交歷史、開發(fā)者郵箱等。同樣地，如果你不小心將.htaccess文件留在了你的Web根目錄下，你也希望能夠阻止外部訪問這個文件。

按照上述配置，當你嘗試直接訪問http://example.com/.git/或http://example.com/.htaccess時，Nginx會返回403 Forbidden錯誤，從而保護這些敏感資源不被公開訪問。

此外，如果你想提供一個友好的錯誤頁面而不是默認的403錯誤頁面，可以結合使用error_page指令。例如：

server {
   
    listen 80;
    server_name example.com;

    # 根目錄設置
    root /var/www/html;

    # 定義自定義403錯誤頁面
    error_page 403 /custom_403.html;

    # 禁止訪問.git目錄
    location ~ /.git {
   
        deny all;
    }

    # 禁止訪問.htaccess文件
    location ~ /.ht {
   
        deny all;
    }

    # 自定義403錯誤頁面的位置
    location = /custom_403.html {
   
        allow all;
        root /usr/share/nginx/html;
    }
}

這樣，當發(fā)生403錯誤時，用戶將會看到位于/usr/share/nginx/html/custom_403.html的自定義錯誤頁面，而不是默認的Nginx 403錯誤提示。

配置錯誤頁面

配置自定義錯誤頁面是提升用戶體驗和增強安全性的重要措施。下面將通過具體的Nginx配置示例來說明如何設置404、500等錯誤頁面，并確保這些頁面不會泄露過多的服務器信息。

首先，你需要編輯Nginx的配置文件（通常是nginx.conf或位于sites-available目錄下的某個站點配置文件）。以下是一個簡單的配置示例：

server {
   
    listen 80;
    server_name example.com;

    # 根目錄設置
    root /var/www/html;
    index index.html index.htm;

    # 隱藏Nginx版本信息
    server_tokens off;

    # 定義自定義錯誤頁面
    error_page 404 /custom_404.html;
    error_page 500 502 503 504 /custom_50x.html;

    # 自定義404錯誤頁面的位置
    location = /custom_404.html {
   
        root /usr/share/nginx/html;
        internal;
    }

    # 自定義50x錯誤頁面的位置
    location = /custom_50x.html {
   
        root /usr/share/nginx/html;
        internal;
    }

    # 其他location配置...
}

在這個例子中，我們使用了error_page指令來指定當發(fā)生404或500系列錯誤時應該顯示的頁面。internal;指示Nginx只在內(nèi)部重定向到這個位置，不允許直接訪問這些錯誤頁面。

假設你正在運營一個在線商店，網(wǎng)站偶爾會因為各種原因出現(xiàn)臨時性的問題，比如數(shù)據(jù)庫連接失敗導致的500內(nèi)部服務器錯誤。為了確保即使在這種情況下也能提供良好的用戶體驗，你可以創(chuàng)建一個設計精美的500錯誤頁面，它不僅告訴用戶當前遇到了問題，還提供了幫助鏈接或者聯(lián)系客服的方式。

同樣地，對于404錯誤，一個好的做法是提供一個搜索框或者導航鏈接，讓用戶可以方便地找到他們可能感興趣的內(nèi)容，而不是簡單地顯示“頁面未找到”。

例如，你的custom_404.html頁面可能包含如下內(nèi)容：

Page Not Found

Oops! Page not found.

We're sorry, but the page you were looking for doesn't exist.

Go back to homepage

而custom_50x.html可能會這樣設計：

Server Error

Something went wrong!

Our team has been notified and is working on fixing the issue as quickly as possible.

Return to homepage

啟用HTTPS

啟用HTTPS對于保護數(shù)據(jù)傳輸?shù)陌踩灾陵P重要。這通常涉及到幾個步驟：獲取SSL證書、安裝SSL證書以及在Nginx配置中設置以支持HTTPS連接。下面，我將通過具體的代碼示例和實際案例來詳細說明這個過程。

獲取并安裝SSL證書

首先，你需要從一個可信的證書頒發(fā)機構（CA）獲取SSL證書。你可以選擇付費的SSL證書提供商，如DigiCert、Comodo等，或者使用Let's Encrypt提供的免費SSL證書。

生成CSR文件

在申請SSL證書之前，你需要生成一個證書簽名請求（CSR）。以下是使用OpenSSL工具生成CSR文件的命令：

openssl req -new -newkey rsa:2048 -nodes -out yourdomain.csr -keyout yourdomain.key

系統(tǒng)會提示你輸入一些信息，例如國家、組織名稱、域名等。

提交CSR并下載證書

完成上述步驟后，提交生成的CSR給選定的CA，并按照其指示進行身份驗證。一旦驗證通過，你會收到一個或多個證書文件，包括服務器證書和中間證書。

在Nginx中啟用HTTPS

假設你已經(jīng)獲取了SSL證書并且準備好了所有必要的文件（如yourdomain.crt和yourdomain.key），接下來需要在Nginx配置中啟用HTTPS。

Nginx配置示例

以下是一個基本的Nginx配置示例，展示了如何設置HTTPS支持：

server {
   
    listen 80;
    server_name yourdomain.com www.yourdomain.com;

    # 將HTTP請求重定向到HTTPS
    return 301 https://$host$request_uri;
}

server {
   
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate /path/to/yourdomain.crt;
    ssl_certificate_key /path/to/yourdomain.key;
    ssl_trusted_certificate /path/to/intermediate.crt;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_prefer_server_ciphers on;
    ssl_ciphers 'EECDH+AESGCMAES256+EECDH:AES256+EDH';

    location / {
   
        # 你的網(wǎng)站根目錄和其他配置
        root /var/www/html;
        index index.html index.htm;
    }
}

在這個配置中，我們首先定義了一個監(jiān)聽80端口的服務器塊，用于處理HTTP請求并將它們重定向到HTTPS。然后，我們定義了另一個服務器塊，它監(jiān)聽443端口，并啟用了SSL/TLS加密。這里指定了證書文件的位置以及一些額外的安全參數(shù)。

應用內(nèi)容安全策略(CSP)

內(nèi)容安全策略（CSP）是一個額外的安全層，用于檢測并削弱某些特定類型的攻擊，包括跨站腳本（XSS）和數(shù)據(jù)注入攻擊等。通過在Nginx配置中應用CSP，你可以指定哪些資源是允許加載的，從而防止?jié)撛诘膼阂獯a執(zhí)行。

設置CSP的基本步驟

首先，你需要定義一個適合你網(wǎng)站需求的CSP策略。這通常涉及到指定哪些源可以加載腳本、樣式、圖片等資源。然后，將這個策略添加到你的Nginx配置文件中。

示例代碼

假設你有一個簡單的博客網(wǎng)站，并且希望確保所有的資源都來自相同的源（即self），除了圖片可以從任何地方加載外，其他資源都不允許內(nèi)聯(lián)或使用eval()函數(shù)。以下是如何在Nginx中設置這樣一個CSP的例子：

server {
   
    listen 80;
    server_name example.com;

    # 其他配置...

    add_header Content-Security-Policy "default-src 'self'; img-src *; script-src 'self' 'unsafe-inline' 'unsafe-eval'";

    # 其他location配置...
}

在這個例子中，我們設置了以下規(guī)則：

default-src 'self'：默認情況下，只允許從當前域名加載資源。

img-src*：允許圖片從任何源加載。

script-src 'self' 'unsafe-inline' 'unsafe-eval'：允許腳本從當前域名加載，并允許內(nèi)聯(lián)腳本和eval()函數(shù)。然而，在實際生產(chǎn)環(huán)境中應盡量避免使用unsafe-inline和unsafe-eval，因為它們會增加XSS攻擊的風險。

假設一個在線銀行系統(tǒng)，它需要非常嚴格的安全措施來保護用戶的數(shù)據(jù)。在這種情況下，銀行可能會采取如下的CSP策略：

add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscripts.example.com; style-src 'self' https://trustedstyles.example.com; img-src 'self' data: https://trustedimages.example.com; connect-src 'self' https://api.example.com; object-src 'none'; frame-src 'none';";

這里，我們做了如下限制：

只允許從當前域加載所有類型的內(nèi)容（default-src 'self'）。

腳本只能從當前域和一個可信的第三方腳本提供者加載（script-src 'self'https://trustedscripts.example.com）。

樣式表也受到類似的限制（style-src 'self'https://trustedstyles.example.com）。

圖片可以從當前域、data URI以及一個可信的圖片服務器加載（img-src 'self' data:https://trustedimages.example.com）。

API請求只能發(fā)送到當前域或一個可信的API端點（connect-src 'self'https://api.example.com）。

禁止加載插件內(nèi)容（object-src 'none'）以減少潛在的安全風險。

不允許頁面被嵌入到任何iframe中，防止點擊劫持攻擊（frame-src 'none'）。

監(jiān)控與調(diào)整

一旦部署了CSP，重要的是要監(jiān)控其表現(xiàn)。通過使用report-uri指令，你可以讓瀏覽器向你指定的URL報告任何違反CSP的行為，這樣就可以及時發(fā)現(xiàn)并修復問題。例如：

add_header Content-Security-Policy "default-src 'self'; report-uri /csp-report-endpoint";

這將指示瀏覽器將任何CSP違規(guī)報告發(fā)送到/csp-report-endpoint路徑上。定期審查這些報告有助于優(yōu)化你的CSP策略，確保既不過于寬松也不過于嚴格。

請根據(jù)實際情況調(diào)整CSP策略，逐步實施新的限制，并測試對網(wǎng)站功能的影響，同時保持對新威脅的關注并適時更新策略。

設置正確的文件權限

設置正確的文件權限是確保Nginx服務安全運行的重要步驟。這涉及到配置文件、日志文件以及網(wǎng)站根目錄下的文件和目錄的權限設置。以下是一些指導原則和具體的代碼示例，用于幫助你正確地設置這些權限。

文件和目錄權限的一般規(guī)則

文件權限：通常推薦將文件權限設為644，這意味著所有者可以讀寫（rw-），而組用戶和其他人只能讀取（r--）。

目錄權限：目錄權限通常設為755，允許所有者讀寫執(zhí)行（rwx），組用戶和其他人只能讀取和執(zhí)行（r-x）。

所有者和組：所有者應設置為運行Nginx服務的非root用戶，例如nginx或www-data，具體取決于你的系統(tǒng)配置。

設置文件和目錄權限的命令

在Linux系統(tǒng)中，你可以使用chmod命令來修改文件或目錄的權限，使用chown命令來更改文件或目錄的所有者和所屬組。

假設你有如下結構：

/var/www/html/  # 網(wǎng)站根目錄
/etc/nginx/nginx.conf  # Nginx主配置文件
/var/log/nginx/access.log  # 訪問日志文件

你可以使用以下命令來設置權限：

# 設置文件權限為644
sudo chmod 644 /var/www/html/index.html
sudo chmod 644 /etc/nginx/nginx.conf
sudo chmod 644 /var/log/nginx/access.log

# 設置目錄權限為755
sudo chmod 755 /var/www/html/

更改文件所有者和組

如果你需要更改文件的所有者和組，可以使用chown命令：

# 假設nginx運行用戶為nginx，組也為nginx
sudo chown nginx:nginx /var/www/html/index.html
sudo chown root:nginx /etc/nginx/nginx.conf  # 主配置文件可能由root擁有，但屬于nginx組
sudo chown nginx:nginx /var/log/nginx/access.log

假設正在維護一個基于Nginx的WordPress博客。為了確保安全性，你需要正確設置文件和目錄的權限。

首先，確定Nginx是以哪個用戶運行的。可以通過查看Nginx配置文件中的user指令得知，通常是nginx或www-data。

grep 'user' /etc/nginx/nginx.conf

然后，應用適當?shù)臋嘞拊O置：

# 設置WordPress安裝目錄下的文件和目錄權限
find /var/www/html -type f -exec chmod 644 {
   } ;
find /var/www/html -type d -exec chmod 755 {
   } ;

# 更改所有權
sudo chown -R nginx:nginx /var/www/html

# 設置Nginx日志文件權限
sudo chmod 640 /var/log/nginx/*.log
sudo chown nginx:nginx /var/log/nginx/*.log

在這個例子中，我們對WordPress安裝目錄下的所有文件設置了644權限，對目錄設置了755權限，并且將所有權更改為Nginx用戶。對于日志文件，我們采用了稍微嚴格的權限640，以限制訪問。

配置安全Headers

添加安全相關的HTTP響應頭，可以有效防御常見的Web攻擊：

# 防止點擊劫持
add_header X-Frame-Options SAMEORIGIN;
add_header Content-Security-Policy "frame-ancestors 'self';";

# 強化XSS防護
# 注意：根據(jù)實際情況決定是否保留X-XSS-Protection，因為現(xiàn)代瀏覽器支持程度不同
add_header X-XSS-Protection "1; mode=block";

# 防止MIME類型混淆攻擊
add_header X-Content-Type-Options nosniff;

# 增強隱私保護
add_header Referrer-Policy "strict-origin-when-cross-origin";

# 強化的CSP策略
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'; frame-ancestors 'self'; upgrade-insecure-requests;";

限制連接數(shù)

為了防止DoS（拒絕服務）攻擊，可以通過限制單個IP的連接數(shù)和請求頻率來減少惡意流量對服務器的影響。

Nginx提供了兩個模塊來進行這種類型的限制：ngx_http_limit_conn_module和ngx_http_limit_req_module。前者用于限制連接數(shù)，后者用于限制請求頻率。

以下是一個簡單的Nginx配置片段，用于限制每個客戶端IP的最大并發(fā)連接數(shù)為10：

http {
   
    # 定義一個名為addr的共享內(nèi)存區(qū)域，大小為10MB，鍵值為$binary_remote_addr
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
   
        location / {
   
            # 每個IP地址最多允許10個并發(fā)連接
            limit_conn addr 10;
        }
    }
}

下面是一個限制請求頻率的例子，它限制了每個客戶端IP每秒最多發(fā)起20次請求，并且設置了突發(fā)緩沖區(qū)為5次請求：

http {
   
    # 定義一個名為req_zone的共享內(nèi)存區(qū)域，大小為10MB，鍵值為$binary_remote_addr，速率限制為每秒20次請求
    limit_req_zone $binary_remote_addr zone=req_zone:10m rate=20r/s;

    server {
   
        location / {
   
            # 應用名為req_zone的限制規(guī)則，允許突發(fā)請求量為5
            limit_req zone=req_zone burst=5 nodelay;
        }
    }
}

配置白名單

配置IP白名單是一種有效的安全措施，特別是對于管理后臺等敏感區(qū)域。通過只允許特定的、受信任的IP地址訪問這些區(qū)域，可以大大減少未經(jīng)授權訪問的風險。

如果你使用Nginx作為你的Web服務器，可以通過以下方式限制對某些路徑的訪問僅限于指定的IP地址：

server {
   
    listen 80;
    server_name yourdomain.com;

    location /admin/ {
   
        allow 192.168.1.1; # 允許的IP地址
        deny all; # 拒絕所有其他IP地址
        proxy_pass http://backend;
    }
}

上述配置會使得只有來自192.168.1.1的請求能夠訪問/admin/路徑下的資源，而所有其他IP地址的請求都將被拒絕。

優(yōu)化SSL配置

優(yōu)化SSL配置是確保網(wǎng)站安全性和性能的關鍵步驟。以下是一些具體的建議和代碼示例，用于增強SSL/TLS的安全性：

禁用舊版本的SSL/TLS協(xié)議（如SSLv3, TLS 1.0, 和 TLS 1.1），因為它們存在已知的安全漏洞。

在Nginx中，你可以通過以下配置來實現(xiàn)：

server {
   
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;

    # 其他配置...
}

選擇強加密套件以保護數(shù)據(jù)傳輸。避免使用含有MD5、RC4等不安全算法的套件。

server {
   
    listen 443 ssl http2;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384ECDHE-ECDSA-CHACHA20-POLY1305ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256';
    ssl_prefer_server_ciphers on;

    # 其他配置...
}

在線證書狀態(tài)協(xié)議（OCSP）Stapling允許服務器預先獲取證書吊銷狀態(tài)，并將其提供給客戶端，從而減少客戶端查詢時間。

server {
   
    listen 443 ssl http2;
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 10s;

    # 其他配置...
}

HSTS告訴瀏覽器總是使用HTTPS訪問你的站點，即使用戶嘗試通過HTTP訪問。

server {
   
    listen 443 ssl http2;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # 其他配置...
}

會話票據(jù)可以加快后續(xù)連接的速度，因為它們允許跳過完整的TLS握手過程。

server {
   
    listen 443 ssl http2;
    ssl_session_tickets on;

    # 其他配置...
}

文件上傳安全

為了確保Nginx配置能夠防止通過上傳大文件耗盡服務器資源，并且保證上傳目錄的權限配置正確，我們需要從幾個方面入手：限制上傳文件大小、設置正確的目錄權限以及確保上傳的文件不會被執(zhí)行。

在Nginx中，我們可以通過client_max_body_size指令來控制允許客戶端上傳的最大文件大小。這個指令可以在http, server, 或者 location塊中進行設置。以下是一個示例配置：

http {
   
    # 其他配置...

    client_max_body_size 10m; # 設置最大上傳文件大小為10MB

    server {
   
        listen       80;
        server_name  example.com;

        location /upload {
   
            # 將請求轉發(fā)給后端處理文件上傳的應用服務器
            proxy_pass http://backend_server;

            # 確保這里也設置了client_max_body_size以覆蓋默認值
            client_max_body_size 10m;
        }

        # 其他配置...
    }
}

上述配置將所有上傳請求的最大文件大小限制為10MB。如果用戶嘗試上傳超過此大小的文件，Nginx會返回413 (Request Entity Too Large)錯誤。

為了保護上傳的文件不被惡意執(zhí)行，應該對上傳目錄設置適當?shù)臋嘞蓿⒔乖撃夸浵碌哪_本執(zhí)行。以下是如何在Nginx配置中做到這一點的一個例子：

server {
   
    listen       80;
    server_name  example.com;

    location /uploads {
   
        alias /path/to/uploads; # 指定上傳目錄的實際路徑

        # 防止任何PHP或類似腳本被執(zhí)行
        location ~* .(php|pl|py|jsp|asp|sh|cgi)$ {
   
            deny all; # 對匹配這些擴展名的文件返回403 Forbidden
        }
    }
}

在這個配置中，任何試圖訪問具有.php, .pl, .py, .jsp, .asp, .sh, 或 .cgi擴展名的文件都會被拒絕訪問，即使這些文件位于/uploads目錄下。這可以有效避免由于文件上傳而導致的安全風險。

防止常見攻擊

防止DDoS攻擊

http {
   
    # 設置請求速率限制
    limit_req_zone $binary_remote_addr zone=one:10m rate=30r/m;

    server {
   
        location /login.html {
   
            # 應用請求速率限制
            limit_req zone=one;
        }

        # 設置并發(fā)連接數(shù)限制
        limit_conn_zone $binary_remote_addr zone=addr:10m;

        location /shopping/ {
   
            limit_conn addr 10; # 每個IP最多允許10個并發(fā)連接
        }

        # 關閉慢連接
        client_body_timeout 5s;
        client_header_timeout 5s;
    }
}

通過這種方式，可以有效地減少惡意用戶發(fā)起的大量請求對服務器造成的壓力。

防止SQL注入

雖然SQL注入主要是應用程序?qū)用娴膯栴}，但是Nginx也可以通過過濾特定的查詢字符串來輔助防護：

location / {
       
# 檢查URL中是否包含特殊字符    
# 如果包含分號、單引號、尖括號等字符，返回444狀態(tài)碼    
# 444是Nginx特殊狀態(tài)碼，表示關閉連接而不發(fā)送響應頭    
if ($request_uri ~* [;'<>] ) {
           
return 444;    
}       
# 檢查查詢字符串中的特殊字符    
if ($args ~* [;'<>] ) {
          
 return 444;    }       
 # 保護敏感URI    
location ~* /(admin|backup|config|db|src)/ {
          
 deny all;    
}}

這會阻止包含有潛在危險字符的請求到達后端服務。

防止跨站腳本攻擊（XSS）

可以通過設置HTTP響應頭來增加安全性：

add_header X-XSS-Protection "1; mode=block";

這個頭部告訴瀏覽器啟用XSS過濾，并在檢測到XSS攻擊時阻止渲染頁面。

點擊劫持（Clickjacking）防御

通過設置X-Frame-Options響應頭來防止點擊劫持：

add_header X-Frame-Options SAMEORIGIN;

這樣可以確保你的網(wǎng)站只能被嵌入到相同域名下的iframe中，增加了額外的安全層

防止目錄遍歷

防止目錄遍歷攻擊是Nginx配置中的一個重要方面，這種攻擊允許攻擊者通過構造特殊的URL訪問Web服務器上的未授權文件或目錄。

禁用目錄列表（autoindex off）

默認情況下，Nginx不會列出目錄內(nèi)容，但是如果你不小心啟用了autoindex on，則可能暴露敏感信息。確保在所有相關位置塊中禁用目錄列表：

server {
   
    listen 80;
    server_name example.com;

    location / {
   
        autoindex off; # 確保目錄瀏覽被關閉
        root /var/www/html;
    }
}

使用正則表達式阻止包含../的請求

你可以使用正則表達式匹配并拒絕任何試圖進行目錄遍歷的請求：

location ~ /../ {
   
    deny all; # 拒絕所有包含“../”的請求
}

正確配置別名（alias）和根路徑（root）

當使用alias時，確保正確地添加斜杠以避免潛在的目錄遍歷漏洞：

location /static/ {
    # 注意這里的斜杠
    alias /var/www/static_files/; # 確保這里也有斜杠
}

啟用基于IP的訪問控制

你可以限制對特定目錄的訪問，只允許某些IP地址訪問：

location /admin/ {
   
    allow 192.168.1.100; # 允許特定IP訪問
    deny all; # 拒絕其他所有IP訪問
}

URL解碼過濾

雖然Nginx默認會對URL進行解碼，但你仍然可以添加額外的安全層來確保路徑中的特殊字符不會導致問題：

if ($uri ~* "..") {
   
    return 403; # 如果URI包含“..”，返回403 Forbidden
}

假設你有一個網(wǎng)站托管在Nginx上，并且你希望保護你的服務器不受目錄遍歷攻擊的影響。你的網(wǎng)站有一個公開可訪問的靜態(tài)資源目錄/static/images/，以及一個后臺管理面板/admin/。為了防止目錄遍歷攻擊，你可以采取以下措施：

對于靜態(tài)資源目錄，確保autoindex被關閉，并且正確配置了別名：

location /static/ {
   
    alias /var/www/static_files/;
    autoindex off; # 確保目錄瀏覽被關閉
}

對于后臺管理面板，你可以設置基于IP的訪問控制：

location /admin/ {
   
    allow 192.168.1.100; # 只允許特定IP訪問
    deny all; # 拒絕其他所有IP訪問
}

全局防護，在整個服務器配置中添加針對目錄遍歷的防護規(guī)則：

server {
   
    listen 80;
    server_name yoursite.com;

    # 拒絕不含斜杠的父級目錄嘗試
    location ~ /../ {
   
        deny all;
    }

    # 正常的站點配置...
}

這些配置能夠幫助你構建一個更加安全的環(huán)境，有效地防止目錄遍歷攻擊。

日志安全

在Nginx中，通過配置訪問日志和錯誤日志，可以有效地記錄用戶行為和系統(tǒng)狀態(tài)，這對于安全分析至關重要。下面我將提供具體的代碼示例來說明如何配置這些日志。

為了詳細記錄訪問信息，你可以自定義log_format來包含盡可能多的相關字段，并使用access_log指令指定日志文件的位置以及使用的格式。以下是一個詳細的訪問日志配置示例：

http {
   
    # 定義一個名為'main'的日志格式，包含多種有用的信息
    log_format main '$remote_addr - $remote_user [$time_local] '
                    '"$request" $status $body_bytes_sent '
                    '"$http_referer" "$http_user_agent" '
                    '"$http_x_forwarded_for" "$msec" '
                    '"$connection" "$connection_requests" '
                    '"$upstream_addr" "$upstream_response_time" '
                    '"$request_time" "$gzip_ratio"';

    # 指定使用'main'格式記錄訪問日志到特定位置
    access_log /var/log/nginx/access.log main buffer=32k flush=1m;

    server {
   
        listen 80;
        server_name example.com;

        location / {
   
            root /var/www/html;
            index index.html;
        }
    }
}

在這個例子中，我們定義了一個叫做main的復雜日志格式，它包括了客戶端IP地址、請求時間、請求詳情、響應狀態(tài)碼、發(fā)送給客戶端的數(shù)據(jù)大小、來源頁面、用戶代理、X-Forwarded-For頭（如果有的話）、毫秒級的時間戳、連接序列號、通過該連接發(fā)出的請求數(shù)量、上游服務器地址、上游響應時間、整個請求處理時間和壓縮率等。

對于錯誤日志，你需要根據(jù)實際情況選擇合適的日志級別。例如，在生產(chǎn)環(huán)境中，你可能希望設置為warn或error級別，以減少不必要的信息并專注于實際問題。以下是配置錯誤日志級別的示例：

http {
   
    # 設置全局錯誤日志級別為warn
    error_log /var/log/nginx/error.log warn;

    server {
   
        listen 80;
        server_name example.com;

        location / {
   
            root /var/www/html;
            index index.html;
        }

        # 可以為特定虛擬主機設置不同的錯誤日志級別
        error_log /var/log/nginx/example.error.log error;
    }
}

在這個配置中，全局錯誤日志被設置為warn級別，這意味著只有警告及以上級別的消息會被記錄。而對于特定的虛擬主機（如example.com），錯誤日志被設置為更嚴格的error級別，這樣可以集中關注那些真正可能導致服務中斷的問題。

其他安全措施

禁止執(zhí)行腳本

在Nginx中，你可以通過配置location塊來限制特定目錄下的腳本執(zhí)行權限。下面是一個示例，展示了如何阻止在/uploads目錄下執(zhí)行PHP腳本：

server {
   
    listen 80;
    server_name example.com;

    location /uploads/ {
   
        # 禁止訪問任何php腳本
        location ~* .php$ {
   
            deny all;
        }

        # 或者使用以下方式直接返回403錯誤給所有嘗試執(zhí)行php腳本的請求
        # location ~* .php$ {
   
        #     return 403;
        # }

        # 其他靜態(tài)資源處理規(guī)則...
    }

    # 其他server配置...
}

另一種方法是使用偽靜態(tài)規(guī)則來實現(xiàn)同樣的目的，這在寶塔面板等管理工具中較為常見：

location ~ /(uploads)/.*.(php|php5)$ {
   
    deny all; # 返回403 Forbidden
}

配置超時時間

設置合理的超時參數(shù)是防御慢速攻擊（Slow HTTP DoS Attack）的關鍵措施之一。慢速攻擊利用了HTTP協(xié)議的特性，通過緩慢地發(fā)送請求或響應數(shù)據(jù)來消耗服務器資源，導致服務器無法處理正常請求。以下是針對不同層面配置超時時間以防止此類攻擊的方法和示例。

在Nginx中，可以通過調(diào)整以下參數(shù)來防御慢速攻擊：

client_body_timeout: 設置客戶端與服務器建立連接后發(fā)送request body的超時時間。

client_header_timeout: 設置客戶端向服務器發(fā)送一個完整的request header的超時時間。

send_timeout: 設置服務端向客戶端傳輸數(shù)據(jù)的超時時間。

keepalive_timeout: 設置每個TCP連接最多可以保持多長時間。

client_max_body_size: 限制客戶端能夠上傳的最大文件大小。

limit_rate: 限制連接速率，防止客戶端過快地使用帶寬。

下面是一個基本的Nginx配置示例：

http {
   
    # 設置客戶端主體讀取超時時間為10秒
    client_body_timeout 10s;

    # 設置客戶端頭部讀取超時時間為10秒
    client_header_timeout 10s;

    # 設置發(fā)送給客戶端的數(shù)據(jù)超時時間為10秒
    send_timeout 10s;

    # 設置Keep-Alive連接的超時時間為60秒
    keepalive_timeout 60s;

    # 設置允許客戶端上傳的最大文件大小為1M
    client_max_body_size 1M;

    # 限制每秒傳輸?shù)臄?shù)據(jù)量為100KB
    limit_rate 100k;

    server {
   
        listen 80;
        server_name example.com;

        location / {
   
            # 其他配置...
        }
    }
}

總結

綜上所述，通過禁用不必要的HTTP方法、隱藏版本信息、設置緩沖區(qū)大小限制、屏蔽不受歡迎的爬蟲、限制IP訪問、控制并發(fā)連接數(shù)及速度、調(diào)整超時時間，并采用HTTPS協(xié)議與優(yōu)化SSL/TLS策略等措施，可以顯著增強Nginx的安全性。同時，配置安全頭部字段如Content Security Policy (CSP)有助于防御跨站腳本攻擊和其他代碼注入威脅。確保Nginx及其模塊保持最新，遵循最小權限原則運行服務，并定期審計系統(tǒng)日志，對于構建堅固的安全防線至關重要。實施這些策略不僅能夠有效抵御已知威脅，也為應對未知挑戰(zhàn)提供了有力保障。

鏈接：https://developer.aliyun.com/article/1650977?spm=5176.21213303.J_v8LsmxMG6alneH-O7TCPa.5.4a5f2f3dvsDvvQ&scm=20140722.S_community@@%E6%96%87%E7%AB%A0@@1650977._.ID_1650977-RL_nginx-LOC_search~UND~community~UND~item-OR_ser-PAR1_2150422117395193796102487ec1a7-V_4-P0_4-P1_0

聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權轉載。文章觀點僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學習之用，如有內(nèi)容侵權或者其他違規(guī)問題，請聯(lián)系本站處理。舉報投訴