nginx安全 - 技术栈

1.1 隐藏Nginx版本信息

默认情况下，Nginx会在响应头中暴露版本号及操作系统信息，攻击者可利用特定版本漏洞发起攻击，因此需隐藏版本信息。

举例：在nginx.conf的http块中添加配置，隐藏版本号和服务器标识，同时自定义服务器响应头，避免泄露敏感信息。配置后，浏览器开发者工具中查看响应头，将不会显示Nginx版本，仅显示自定义的服务器标识。

1.2 限制连接数与请求频率

恶意攻击者可能通过大量并发连接或高频请求发起DoS/DDoS攻击，消耗服务器资源，导致服务不可用。需通过配置限制单IP的连接数和请求频率。

举例：在http块或server块中配置，限制单IP同时建立的连接数不超过10个，每秒请求数不超过20个。当某IP超过限制时，Nginx会直接拒绝后续连接或请求，有效缓解小型DoS攻击。

1.3 禁用不必要的HTTP方法

HTTP协议包含GET、POST、PUT、DELETE等多种方法，其中PUT、DELETE等方法可能被用于恶意修改服务器文件，非必要场景下应禁用。

举例：在server块中配置，仅允许GET、POST、HEAD三种常用方法，拒绝其他所有HTTP方法。当攻击者尝试使用PUT方法上传文件时，Nginx会返回405状态码，阻止操作。

二、访问控制配置

访问控制用于限制特定IP、网段或用户访问服务器资源，防止未授权访问，尤其适用于后台管理页面、敏感接口等场景。

2.1 基于IP的访问控制

针对敏感路径（如后台管理接口、数据库管理页面），仅允许指定IP或网段访问，拒绝其他所有IP的请求。

举例：假设后台管理页面路径为/admin，仅允许公司内网IP段（192.168.1.0/24）访问，其他IP访问时返回403禁止访问。这样可有效防止外部攻击者尝试访问后台页面，降低账号被盗风险。

2.2 密码保护敏感路径

对于无法通过IP限制的敏感路径（如外部可访问的管理页面），可通过密码认证进一步加固，要求用户输入账号密码才能访问。

举例：对/backup路径（用于备份文件存储）进行密码保护，创建认证文件，配置Nginx关联该认证文件。当用户访问/backup时，浏览器会弹出账号密码输入框，输入正确信息后才能访问，即使IP被允许，也需额外验证身份。

三、常见漏洞防护

Nginx运行过程中，可能面临SQL注入、XSS跨站脚本、CSRF跨站请求伪造、文件上传漏洞等常见Web漏洞，需通过针对性配置进行防护。

3.1 防护SQL注入与XSS攻击

SQL注入和XSS攻击均通过恶意构造请求参数实现，可通过过滤请求参数、设置响应头来防御。

3.2 防护文件上传漏洞

文件上传漏洞是Web服务的高频漏洞，攻击者可能上传恶意脚本文件（如.php、.jsp）并执行，获取服务器权限。需限制上传文件类型、大小，并禁止执行上传目录下的脚本。

3.3 防护CSRF攻击

CSRF攻击通过伪造用户请求，利用用户已登录的身份执行未授权操作（如转账、修改密码），可通过设置Referer验证来防御。

举例：在server块中配置，验证请求的Referer字段，仅允许来自本网站域名（如www.example.com）的请求，拒绝其他域名的请求。当攻击者伪造请求时，Referer字段会显示异常域名，Nginx会直接拒绝该请求，防止CSRF攻击生效。

四、HTTPS加密配置

HTTP协议传输数据为明文，易被窃听、篡改，需配置HTTPS加密，确保数据传输安全。HTTPS基于SSL/TLS协议，需申请SSL证书并配置Nginx。

五、日志监控与审计

日志是排查安全问题、发现攻击行为的重要依据，需配置Nginx日志，记录访问信息、错误信息，并定期审计日志，及时发现异常。

5.1 配置日志格式与存储

自定义Nginx日志格式，记录必要的访问信息，包括访问IP、访问时间、请求方法、请求路径、响应状态码、用户代理等，便于后续审计。

举例：在http块中配置自定义日志格式，指定日志存储路径（如/var/log/nginx/access.log）和错误日志路径（如/var/log/nginx/error.log），设置日志滚动策略，避免日志文件过大。每天查看访问日志，可发现异常IP的高频访问、异常请求路径等攻击迹象。

5.2 日志审计与异常排查

定期审计Nginx日志，重点关注以下内容：高频访问的异常IP、403/404/500等异常状态码的集中出现、恶意请求参数（如包含SQL注入、XSS脚本的请求）。

举例：通过查看日志，发现某IP在1小时内发起了1000次请求，且响应状态码多为403，说明该IP可能在尝试暴力破解或恶意攻击，可立即通过防火墙封禁该IP，避免进一步风险。

六、安全维护建议

定期更新Nginx版本：及时修复官方发布的安全漏洞，避免使用过时版本，降低被攻击风险。
最小权限原则：Nginx运行用户使用非root用户，限制该用户的文件操作权限，即使被攻击，也能降低攻击影响范围。
定期备份配置文件：修改Nginx配置前，备份原始配置文件，避免配置错误导致服务不可用或安全漏洞。
结合防火墙防护：在服务器层面配置防火墙（如iptables、firewalld），限制Nginx端口（80、443）的访问范围，进一步加固安全。

总结：Nginx安全防护是一个系统性的工作，需结合基础加固、访问控制、漏洞防护、加密传输、日志监控等多方面配置，同时配合定期维护，才能有效抵御各类Web攻击，保障Web服务的稳定、安全运行。