nginx网站漏洞该如何修复 加强服务器的安全防护-阿里云开发者社区

开发者社区> 网站安全> 正文

nginx网站漏洞该如何修复 加强服务器的安全防护

简介: 服务器的安全防护中,网站环境的搭建与安全部署也是很重要的一部分,目前大多数的服务器都使用的是nginx来搭建网站的运行环境,包括windows服务器,linux服务器都在使用,nginx的安全设置对于服务器安全起到很重要的作用。
+关注继续查看

服务器的安全防护中,网站环境的搭建与安全部署也是很重要的一部分,目前大多数的服务器都使用的是nginx来搭建网站的运行环境,包括windows服务器,linux服务器都在使用,nginx的安全设置对于服务器安全起到很重要的作用。关于如何设置nginx安全,以及服务器的安全部署,我们SINE安全公司来详细的给大家介绍一下:

大部分的网站使用nginx来做负载均衡以及前端的80端口代码来进行静态html文件的访问,nginx的安全设置如果没有设置好会导致服务器安全出现问题,可能会导致服务器被入侵,以及网站被攻击。

nginx 在linux centos系统里,使用的是nginx.conf的格式文件来作为网站的配置文件,里面的配置主要是绑定域名,以及端口,指定到网站的目录地址,伪静态规则,看下图:

从上图的配置文件中,我们可以看出,nginx的内部结构很清晰,每一行代码都写的很精简,针对的功能也是唯一的,每个代码对应的指令以及作用划分的很仔细,其中server就是我们IIS配置的host地址,比如域名以及IP地址,在server的代码里写入端口,可以将网站设置成端口形式的访问。现在我们大体的了解了什么nginx,那么nginx设置不全面,会导致那些漏洞呢?

最常见的就是网站目录可以被任意的查看,也就是网站目录遍历漏洞,这个简单来说就是如果服务器里有很多网站,随便一个网站被攻击,都会导致服务器里的全部网站被攻击,因为可以跨目录的查看任意网站的程序代码。通常导致该漏洞的原因是在配置nginx的时候,有些服务器运维人员会将autoindex on;代码写入到server行里,导致发生目录遍历漏洞。如下图就是目录可以被任意的浏览,包括网站里包含了那些代码,都看的一清二楚。

nginx设置导致的URL注入漏洞,服务器里的网站在使用SSL证书,启用443端口访问网站,nginx会自动代理,并加载SSL证书,有些会设置nginx强制的跳转到https网站,使用302的协议进行强制跳转,如果技术人员设置成return 302 https://$host$uri,会导致网站存在SQL注入漏洞,$uri变量值的含义是:请求文件以及网站的路径,当nginx环境进行传递参数值的时候,可以插入恶意代码到网站中执行,并提交到数据库后端进行sql查询,注入漏洞就因此而发生,建议服务器的运维人员不要对此进行设置。

关于nginx的安全设置方面,服务器的维护人员尽量严格的进行设置,对目录的浏览权限详细的分配,对https协议访问的网站也要加强302的强制跳转参数设置,如果您对服务器安全防护方面不是太懂的话,也可以找专业的安全公司处理,国内SINE安全,绿盟,深信服,都是比较不错的安全公司。

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
WordPress网站漏洞利用及漏洞修复解决方案
2019年正月刚开始,WordPress最新版本存在远程代码注入获取SHELL漏洞,该网站漏洞影响的版本是wordpress5.0.0,漏洞的产生是因为image模块导致的,因为代码里可以进行获取目录权限,以及文件包含功能,导致远程代码注入成功。
1824 0
使用IntelliJ IDEA开发SpringMVC网站(四)用户管理
原文:使用IntelliJ IDEA开发SpringMVC网站(四)用户管理 摘要 通过对用户表的管理,更加深入地讲解SpringMVC的操作。 目录[-] 文章已针对IDEA 15做了一定的更新,部分更新较为重要,请重新阅读文章并下载最新源码。
949 0
Linux服务器安全配置加固防护方法
本文详细总结了PHP网站在Linux服务器上面的安全配置,包含PHP安全、mysql数据库安全、web服务器安全、木马查杀和防范等,很好很强大很安全。
2401 0
阿里云在RSAC 2018上宣布 将在西雅图建立安全实验室
作为全球三大云计算服务商之一,阿里云携3款全新安全产品亮相,并宣布今年将在西雅图设立全新的安全实验室,整合全球安全科研资源,专注前沿互联网安全技术研究。
1647 0
微软下周2将发布13个补丁 修复26个安全漏洞
2月5日消息,微软在星期四发布的下周补丁星期二简要介绍中称,微软将修复26个安全漏洞,其中包括Windows中的一个严重的安全漏洞、一个影响32位版本内核的安全漏洞和Office软件中的一些安全漏洞。
679 0
网站被入侵,该如何查找黑客及网站漏洞?
     当网站被攻击后,令人头疼的是网站哪里出现了问题,是谁在攻击我们,是               利用了什么网站漏洞呢?如果要查找到黑客攻击的根源,通过服务器里留下的网站                访问日志是一个很好的办法。
2485 0
使用IntelliJ IDEA开发SpringMVC网站(五)博客文章管理
原文:使用IntelliJ IDEA开发SpringMVC网站(五)博客文章管理 摘要 通过对博客文章的管理,实现外键操作。 目录[-] 八、博客文章管理 1、查看文章 2、添加博客        3、查看博文详情 4、修改博客内容 5、删除博客文章 九、尾声         1、如何部署 2、进一步的学习 3、ENDING 转载请注明出处:Gaussic(一个致力于AI研究却不得不兼顾项目的研究生) 。
1054 0
Nginx惊现漏洞 百万网站面临“拖库”风险
据瑞星互联网攻防实验室近日出具的一份报告显示,国际知名的服务器Nginx存在缓冲区溢出漏洞,目前利用该漏洞进行网络攻击的恶意程序已经在互联网上出现。届时,使用Nginx服务器的互联网平台将面临用户信息被盗、商业机密泄露等危险。
1265 0
+关注
网站安全
Sinesafe专注于网站安全,服务器安全,解决各类网络安全问题,对代码审计以及漏洞修补安全加固有专业的十年实战经验.官方站点www.sinesafe.com
130
文章
177
问答
文章排行榜
最热
最新
相关电子书
更多
文娱运维技术
立即下载
《SaaS模式云原生数据仓库应用场景实践》
立即下载
《看见新力量:二》电子书
立即下载