资讯频道 → Web前端
阅读更多

19顶
0踩

Web前端

原创新闻 20步打造最安全的Nginx Web服务器

2014-08-26 09:43 by 见习记者 bawangse 评论(2) 有15378人浏览
前端 web 框架 UI JQUERY

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Nginx是一个轻量级的，高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU /linux,BSD 各种版本，Mac OS X,Solaris和Windows。根据调查统计，6%的网站使用Nginx Web服务器。Nginx是少数能处理C10K问题的服务器之一。跟传统的服务器不同，Nginx不依赖线程来处理请求。相反，它使用了更多的可扩展的事 件驱动（异步）架构。Nginx为一些高流量的网站提供动力，比如WordPress,人人网，腾讯，网易等。这篇文章主要是介绍如何提高运行在 Linux或UNIX系统的Nginx Web服务器的安全性。

默认配置文件和Nginx端口

  • /usr/local/nginx/conf/ – Nginx配置文件目录，/usr/local/nginx/conf/nginx.conf是主配置文件
  • /usr/local/nginx/html/ – 默认网站文件位置
  • /usr/local/nginx/logs/ – 默认日志文件位置
  • Nginx HTTP默认端口 : TCP 80
  • Nginx HTTPS默认端口: TCP 443

你可以使用以下命令来测试Nginx配置文件准确性。前端UI分享

  1. /usr/local/nginx/sbin/nginx -t

将会输出。
the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
configuration file /usr/local/nginx/conf/nginx.conf test is successful
执行以下命令来重新加载配置文件。

  1. /usr/local/nginx/sbin/nginx -s reload

执行以下命令来停止服务器。

  1. /usr/local/nginx/sbin/nginx -s stop

一、配置SELinux

安全增强型Linux（SELinux）的是一个Linux内核的功能，它提供支持访问控制的安全政策保护机制。它可以大部分的攻击。下面我们来看如何启动基于centos/RHEL系统的SELinux。
安装SELinux

  1. rpm -qa | grep selinux

libselinux-1.23.10-2
selinux-policy-targeted-1.23.16-6
如果没有返回任何结果，代表没有安装 SELinux，如果返回了类似上面的结果，则说明系统安装了 SELinux。
布什值锁定
运行命令getsebool -a来锁定系统。

  1. getsebool -a | less
  2. getsebool -a | grep off
  3. getsebool -a | grep o

二、通过分区挂载允许最少特权

服务器上的网页/html/php文件单独分区。例如，新建一个分区/dev/sda5(第一逻辑分区)，并且挂载在/nginx。确保 /nginx是以noexec, nodev and nosetuid的权限挂载。以下是我的/etc/fstab的挂载/nginx的信息：
LABEL=/nginx /nginx ext3 defaults,nosuid,noexec,nodev 1 2
注意：你需要使用fdisk和mkfs.ext3命令创建一个新分区。

三、配置/etc/sysctl.conf强化Linux安全

你可以通过编辑/etc/sysctl.conf来控制和配置Linux内核、网络设置。前端UI分享

  1. # Avoid a smurf attack
  2. net.ipv4.icmp_echo_ignore_broadcasts = 1
  3. # Turn on protection for bad icmp error messages
  4. net.ipv4.icmp_ignore_bogus_error_responses = 1
  5. # Turn on syncookies for SYN flood attack protection
  6. net.ipv4.tcp_syncookies = 1
  7. # Turn on and log spoofed, source routed, and redirect packets
  8. net.ipv4.conf.all.log_martians = 1
  9. net.ipv4.conf.default.log_martians = 1
  10. # No source routed packets here
  11. net.ipv4.conf.all.accept_source_route = 0
  12. net.ipv4.conf.default.accept_source_route = 0
  13. # Turn on reverse path filtering
  14. net.ipv4.conf.all.rp_filter = 1
  15. net.ipv4.conf.default.rp_filter = 1
  16. # Make sure no one can alter the routing tables
  17. net.ipv4.conf.all.accept_redirects = 0
  18. net.ipv4.conf.default.accept_redirects = 0
  19. net.ipv4.conf.all.secure_redirects = 0
  20. net.ipv4.conf.default.secure_redirects = 0
  21. # Don’t act as a router
  22. net.ipv4.ip_forward = 0
  23. net.ipv4.conf.all.send_redirects = 0
  24. net.ipv4.conf.default.send_redirects = 0
  25. # Turn on execshild
  26. kernel.exec-shield = 1
  27. kernel.randomize_va_space = 1
  28. # Tuen IPv6
  29. net.ipv6.conf.default.router_solicitations = 0
  30. net.ipv6.conf.default.accept_ra_rtr_pref = 0
  31. net.ipv6.conf.default.accept_ra_pinfo = 0
  32. net.ipv6.conf.default.accept_ra_defrtr = 0
  33. net.ipv6.conf.default.autoconf = 0
  34. net.ipv6.conf.default.dad_transmits = 0
  35. net.ipv6.conf.default.max_addresses = 1
  36. # Optimization for port usefor LBs
  37. # Increase system file descriptor limit
  38. fs.file-max = 65535
  39. # Allow for more PIDs (to reduce rollover problems); may break some programs 32768
  40. kernel.pid_max = 65536
  41. # Increase system IP port limits
  42. net.ipv4.ip_local_port_range = 2000 65000
  43. # Increase TCP max buffer size setable using setsockopt()
  44. net.ipv4.tcp_rmem = 4096 87380 8388608
  45. net.ipv4.tcp_wmem = 4096 87380 8388608
  46. # Increase Linux auto tuning TCP buffer limits
  47. # min, default, and max number of bytes to use
  48. # set max to at least 4MB, or higher if you use very high BDP paths
  49. # Tcp Windows etc
  50. net.core.rmem_max = 8388608
  51. net.core.wmem_max = 8388608
  52. net.core.netdev_max_backlog = 5000
  53. net.ipv4.tcp_window_scaling = 1

四、删除所有不需要的Nginx模块

你需要直接通过编译Nginx源代码使模块数量最少化。通过限制只允许web服务器访问模块把风险降到最低。你可以只配置安装nginx你所需要的模块。例如，禁用SSL和autoindex模块你可以执行以下命令：

  1. ./configure –without-http_autoindex_module –without-http_ssi_module
  2. make
  3. make install

通过以下命令来查看当编译nginx服务器时哪个模块能开户或关闭：

  1. ./configure –help | less

禁用你用不到的nginx模块。
（可选项）更改nginx版本名称。 前端UI分享 
编辑文件/http/ngx_http_header_filter_module.c：

  1. vi +48 src/http/ngx_http_header_filter_module.c

找到行：

  1. static char ngx_http_server_string[] = “Server: nginx” CRLF;
  2. static char ngx_http_server_full_string[] = “Server: ” NGINX_VER CRLF;

按照以下行修改：

  1. static char ngx_http_server_string[] = “Server: Ninja Web Server” CRLF;
  2. static char ngx_http_server_full_string[] = “Server: Ninja Web Server” CRLF;

保存并关闭文件。现在你可以编辑服务器了。增加以下代码到nginx.conf文件来关闭nginx版本号的显示。

  1. server_tokens off

五、使用mod_security(只适合后端Apache服务器)

mod_security为Apache提供一个应用程序级的防火墙。为后端Apache Web服务器安装mod_security，这会阻止很多注入式攻击。

六、安装SELinux策略以强化Nginx Web服务器

默认的SELinux不会保护Nginx Web服务器，但是你可以安装和编译保护软件。
1、安装编译SELinux所需环境支持

  1. yum -y install selinux-policy-targeted selinux-policy-devel

2、下载SELinux策略以强化Nginx Web服务器。

  1. cd /opt
  2. wget ‘http://downloads.sourceforge.net/project/selinuxnginx/se-ngix_1_0_10.tar.gz?use_mirror=nchc’

3、解压文件

  1. tar -zxvf se-ngix_1_0_10.tar.gz

4、编译文件

  1. cd se-ngix_1_0_10/nginx
  2. make

将会输出如下：
Compiling targeted nginx module
/usr/bin/checkmodule: loading policy configuration from tmp/nginx.tmp
/usr/bin/checkmodule: policy configuration loaded
/usr/bin/checkmodule: writing binary representation (version 6) to tmp/nginx.mod
Creating targeted nginx.pp policy package

  1. rm tmp/nginx.mod.fc tmp/nginx.mod

5、安装生成的nginx.pp SELinux模块：

  1. /usr/sbin/semodule -i nginx.pp

七、基于Iptables防火墙的限制

下面的防火墙脚本阻止任何除了允许：

  • 来自HTTP(TCP端口80)的请求 前端UI分享
  • 来自ICMP ping的请求
  • ntp(端口123)的请求输出
  • smtp(TCP端口25)的请求输出
  1. #!/bin/bash
  2. IPT=”/sbin/iptables”
  3. #### IPS ######
  4. # Get server public ip
  5. SERVER_IP=$(ifconfig eth0 | grep ‘inet addr:’ | awk -F’inet addr:’ ‘{ print $2}’ | awk ‘{ print $1}’)
  6. LB1_IP=”204.54.1.1″
  7. LB2_IP=”204.54.1.2″
  8. # Do some smart logic so that we can use damm script on LB2 too
  9. OTHER_LB=”"
  10. SERVER_IP=”"
  11. [[ "$SERVER_IP" == "$LB1_IP" ]] && OTHER_LB=”$LB2_IP” || OTHER_LB=”$LB1_IP”
  12. [[ "$OTHER_LB" == "$LB2_IP" ]] && OPP_LB=”$LB1_IP” || OPP_LB=”$LB2_IP”
  13. ### IPs ###
  14. PUB_SSH_ONLY=”122.xx.yy.zz/29″
  15. #### FILES #####
  16. BLOCKED_IP_TDB=/root/.fw/blocked.ip.txt
  17. SPOOFIP=”127.0.0.0/8 192.168.0.0/16 172.16.0.0/12 10.0.0.0/8 169.254.0.0/16 0.0.0.0/8 240.0.0.0/4 255.255.255.255/32 168.254.0.0/16 224.0.0.0/4 240.0.0.0/5 248.0.0.0/5 192.0.2.0/24″
  18. BADIPS=$( [[ -f ${BLOCKED_IP_TDB} ]] && egrep -v “^#|^$” ${BLOCKED_IP_TDB})
  19. ### Interfaces ###
  20. PUB_IF=”eth0″   # public interface
  21. LO_IF=”lo”      # loopback
  22. VPN_IF=”eth1″   # vpn / private net
  23. ### start firewall ###
  24. echo “Setting LB1 $(hostname) Firewall…”
  25. # DROP and close everything
  26. $IPT -P INPUT DROP
  27. $IPT -P OUTPUT DROP
  28. $IPT -P FORWARD DROP
  29. # Unlimited lo access
  30. $IPT -A INPUT -i ${LO_IF} -j ACCEPT
  31. $IPT -A OUTPUT -o ${LO_IF} -j ACCEPT
  32. # Unlimited vpn / pnet access
  33. $IPT -A INPUT -i ${VPN_IF} -j ACCEPT
  34. $IPT -A OUTPUT -o ${VPN_IF} -j ACCEPT
  35. # Drop sync
  36. $IPT -A INPUT -i ${PUB_IF} -p tcp ! –syn -m state –state NEW -j DROP
  37. # Drop Fragments
  38. $IPT -A INPUT -i ${PUB_IF} -f -j DROP
  39. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags ALL FIN,URG,PSH -j DROP
  40. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags ALL ALL -j DROP
  41. # Drop NULL packets
  42. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags ALL NONE -m limit –limit 5/m –limit-burst 7 -j LOG –log-prefix ” NULL Packets “
  43. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags ALL NONE -j DROP
  44. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags SYN,RST SYN,RST -j DROP
  45. # Drop XMAS
  46. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags SYN,FIN SYN,FIN -m limit –limit 5/m –limit-burst 7 -j LOG –log-prefix ” XMAS Packets “
  47. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags SYN,FIN SYN,FIN -j DROP
  48. # Drop FIN packet scans
  49. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags FIN,ACK FIN -m limit –limit 5/m –limit-burst 7 -j LOG –log-prefix ” Fin Packets Scan “
  50. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags FIN,ACK FIN -j DROP
  51. $IPT  -A INPUT -i ${PUB_IF} -p tcp –tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
  52. # Log and get rid of broadcast / multicast and invalid
  53. $IPT  -A INPUT -i ${PUB_IF} -m pkttype –pkt-type broadcast -j LOG –log-prefix ” Broadcast “
  54. $IPT  -A INPUT -i ${PUB_IF} -m pkttype –pkt-type broadcast -j DROP
  55. $IPT  -A INPUT -i ${PUB_IF} -m pkttype –pkt-type multicast -j LOG –log-prefix ” Multicast “
  56. $IPT  -A INPUT -i ${PUB_IF} -m pkttype –pkt-type multicast -j DROP
  57. $IPT  -A INPUT -i ${PUB_IF} -m state –state INVALID -j LOG –log-prefix ” Invalid “
  58. $IPT  -A INPUT -i ${PUB_IF} -m state –state INVALID -j DROP
  59. # Log and block spoofed ips
  60. $IPT -N spooflist
  61. for ipblock in $SPOOFIP
  62. do
  63. $IPT -A spooflist -i ${PUB_IF} -s $ipblock -j LOG –log-prefix ” SPOOF List Block “
  64. $IPT -A spooflist -i ${PUB_IF} -s $ipblock -j DROP
  65. done
  66. $IPT -I INPUT -j spooflist
  67. $IPT -I OUTPUT -j spooflist
  68. $IPT -I FORWARD -j spooflist
  69. # Allow ssh only from selected public ips
  70. for ip in ${PUB_SSH_ONLY}
  71. do
  72. $IPT -A INPUT -i ${PUB_IF} -s ${ip} -p tcp -d ${SERVER_IP} –destination-port 22 -j ACCEPT
  73. $IPT -A OUTPUT -o ${PUB_IF} -d ${ip} -p tcp -s ${SERVER_IP} –sport 22 -j ACCEPT
  74. done
  75. # allow incoming ICMP ping pong stuff
  76. $IPT -A INPUT -i ${PUB_IF} -p icmp –icmp-type 8 -s 0/0 -m state –state NEW,ESTABLISHED,RELATED -m limit –limit 30/sec  -j ACCEPT
  77. $IPT -A OUTPUT -o ${PUB_IF} -p icmp –icmp-type 0 -d 0/0 -m state –state ESTABLISHED,RELATED -j ACCEPT
  78. # allow incoming HTTP port 80
  79. $IPT -A INPUT -i ${PUB_IF} -p tcp -s 0/0 –sport 1024:65535 –dport 80 -m state –state NEW,ESTABLISHED -j ACCEPT
  80. $IPT -A OUTPUT -o ${PUB_IF} -p tcp –sport 80 -d 0/0 –dport 1024:65535 -m state –state ESTABLISHED -j ACCEPT
  81. # allow outgoing ntp
  82. $IPT -A OUTPUT -o ${PUB_IF} -p udp –dport 123 -m state –state NEW,ESTABLISHED -j ACCEPT
  83. $IPT -A INPUT -i ${PUB_IF} -p udp –sport 123 -m state –state ESTABLISHED -j ACCEPT
  84. # allow outgoing smtp
  85. $IPT -A OUTPUT -o ${PUB_IF} -p tcp –dport 25 -m state –state NEW,ESTABLISHED -j ACCEPT
  86. $IPT -A INPUT -i ${PUB_IF} -p tcp –sport 25 -m state –state ESTABLISHED -j ACCEPT
  87. ### add your other rules here ####
  88. #######################
  89. # drop and log everything else
  90. $IPT -A INPUT -m limit –limit 5/m –limit-burst 7 -j LOG –log-prefix ” DEFAULT DROP “
  91. $IPT -A INPUT -j DROP
  92. exit 0

八、控制缓冲区溢出攻击

编辑nginx.conf，为所有客户端设置缓冲区的大小限制。

  1. vi /usr/local/nginx/conf/nginx.conf

编辑和设置所有客户端缓冲区的大小限制如下：

  1. ## Start: Size Limits & Buffer Overflows ##
  2. client_body_buffer_size  1K;
  3. client_header_buffer_size 1k;
  4. client_max_body_size 1k;
  5. large_client_header_buffers 2 1k;
  6. ## END: Size Limits & Buffer Overflows ##

解释：
1、client_body_buffer_size 1k-（默认8k或16k）这个指令可以指定连接请求实体的缓冲区大小。如果连接请求超过缓存区指定的值，那么这些请求实体的整体或部分将尝试写入一个临时文件。
2、client_header_buffer_size 1k-指令指定客户端请求头部的缓冲区大小。绝大多数情况下一个请求头不会大于1k，不过如果有来自于wap客户端的较大的cookie它可能会大于 1k，Nginx将分配给它一个更大的缓冲区，这个值可以在large_client_header_buffers里面设置。 前端UI分享 
3、client_max_body_size 1k-指令指定允许客户端连接的最大请求实体大小，它出现在请求头部的Content-Length字段。
如果请求大于指定的值，客户端将收到一个”Request Entity Too Large” (413)错误。记住，浏览器并不知道怎样显示这个错误。
4、large_client_header_buffers-指定客户端一些比较大的请求头使用的缓冲区数量和大小。请求字段不能大于一个缓冲区大小，如果客户端发送一个比较大的头，nginx将返回”Request URI too large” (414)
同样，请求的头部最长字段不能大于一个缓冲区，否则服务器将返回”Bad request” (400)。缓冲区只在需求时分开。默认一个缓冲区大小为操作系统中分页文件大小，通常是4k或8k，如果一个连接请求最终将状态转换为keep- alive，它所占用的缓冲区将被释放。
你还需要控制超时来提高服务器性能并与客户端断开连接。按照如下编辑：

  1. ## Start: Timeouts ##
  2. client_body_timeout   10;
  3. client_header_timeout 10;
  4. keepalive_timeout     5 5;
  5. send_timeout          10;
  6. ## End: Timeouts ##

1、client_body_timeout 10;-指令指定读取请求实体的超时时间。这里的超时是指一个请求实体没有进入读取步骤，如果连接超过这个时间而客户端没有任何响应，Nginx将返回一个”Request time out” (408)错误。
2、client_header_timeout 10;-指令指定读取客户端请求头标题的超时时间。这里的超时是指一个请求头没有进入读取步骤，如果连接超过这个时间而客户端没有任何响应，Nginx将返回一个”Request time out” (408)错误。
3、keepalive_timeout 5 5; – 参数的第一个值指定了客户端与服务器长连接的超时时间，超过这个时间，服务器将关闭连接。参数的第二个值（可选）指定了应答头中Keep-Alive: timeout=time的time值，这个值可以使一些浏览器知道什么时候关闭连接，以便服务器不用重复关闭，如果不指定这个参数，nginx不会在应 答头中发送Keep-Alive信息。（但这并不是指怎样将一个连接“Keep-Alive”）参数的这两个值可以不相同。
4、send_timeout 10; 指令指定了发送给客户端应答后的超时时间，Timeout是指没有进入完整established状态，只完成了两次握手，如果超过这个时间客户端没有任何响应，nginx将关闭连接。前端UI分享

九、控制并发连接

你可以使用NginxHttpLimitZone模块来限制指定的会话或者一个IP地址的特殊情况下的并发连接。编辑nginx.conf:

  1. ### Directive describes the zone, in which the session states are stored i.e. store in slimits. ###
  2. ### 1m can handle 32000 sessions with 32 bytes/session, set to 5m x 32000 session ###
  3. limit_zone slimits $binary_remote_addr 5m;
  4. ### Control maximum number of simultaneous connections for one session i.e. ###
  5. ### restricts the amount of connections from a single ip address ###
  6. limit_conn slimits 5;

上面表示限制每个远程IP地址的客户端同时打开连接不能超过5个。

十、只允许我们的域名的访问

如果机器人只是随机扫描服务器的所有域名，那拒绝这个请求。你必须允许配置的虚拟域或反向代理请求。你不必使用IP地址来拒绝。

  1. ## Only requests to our Host are allowed i.e. nixcraft.in, images.nixcraft.in and www.nixcraft.in
  2. if ($host !~ ^(nixcraft.in|www.nixcraft.in|images.nixcraft.in)$ ) {
  3. return 444;
  4. }
  5. ##

十一、限制可用的请求方法

GET和POST是互联网上最常用的方法。 Web服务器的方法被定义在RFC 2616。如果Web服务器不要求启用所有可用的方法，它们应该被禁用。下面的指令将过滤只允许GET，HEAD和POST方法：

  1. ## Only allow these request methods ##
  2. if ($request_method !~ ^(GET|HEAD|POST)$ ) {
  3. return 444;
  4. }
  5. ## Do not accept DELETE, SEARCH and other methods ##

更多关于HTTP方法的介绍

  • GET方法是用来请求。
  • HEAD方法是一样的，除非该服务器的GET请求无法返回消息体。
  • POST方法可能涉及到很多东西，如储存或更新数据，或订购产品，或通过提交表单发送电子邮件。这通常是使用服务器端处理，如PHP，Perl和Python等脚本。如果你要上传的文件和在服务器处理数据，你必须使用这个方法。

十二、如何拒绝一些User-Agents？

你可以很容易地阻止User-Agents,如扫描器，机器人以及滥用你服务器的垃圾邮件发送者。

  1. ## Block download agents ##
  2. if ($http_user_agent ~* LWP::Simple|BBBike|wget) {
  3. return 403;
  4. }
  5. ##

阻止Soso和有道的机器人：

  1. ## Block some robots ##
  2. if ($http_user_agent ~* Sosospider|YodaoBot) {
  3. return 403;
  4. }

十三、如何防止图片盗链

图片或HTML盗链的意思是有人直接用你网站的图片地址来显示在他的网站上。最终的结果，你需要支付额外的宽带费用。这通常是在论坛和博客。我强烈建议您封锁，并阻止盗链行为。前端UI分享

  1. # Stop deep linking or hot linking
  2. location /images/ {
  3. valid_referers none blocked www.example.com example.com;
  4. if ($invalid_referer) {
  5. return   403;
  6. }
  7. }

例如：重定向并显示指定图片

  1. valid_referers blocked www.example.com example.com;
  2. if ($invalid_referer) {
  3. rewrite ^/images/uploads.*\.(gif|jpg|jpeg|png)$ http://www.examples.com/banned.jpg last
  4. }

十四、目录限制

你可以对指定的目录设置访问权限。所有的网站目录应该一一的配置，只允许必须的目录访问权限。
通过IP地址限制访问
你可以通过IP地址来限制访问目录/admin/:

  1. location /docs/ {
  2. ## block one workstation
  3. deny    192.168.1.1;
  4. ## allow anyone in 192.168.1.0/24
  5. allow   192.168.1.0/24;
  6. ## drop rest of the world
  7. deny    all;
  8. }

通过密码保护目录
首先创建密码文件并增加“user”用户：

  1. mkdir /usr/local/nginx/conf/.htpasswd/
  2. htpasswd -c /usr/local/nginx/conf/.htpasswd/passwd user

编辑nginx.conf,加入需要保护的目录：

  1. ### Password Protect /personal-images/ and /delta/ directories ###
  2. location ~ /(personal-images/.*|delta/.*) {
  3. auth_basic  “Restricted”;
  4. auth_basic_user_file   /usr/local/nginx/conf/.htpasswd/passwd;
  5. }

一旦密码文件已经生成，你也可以用以下的命令来增加允许访问的用户：

  1. htpasswd -s /usr/local/nginx/conf/.htpasswd/passwd userName

十五、Nginx SSL配置

HTTP是一个纯文本协议，它是开放的被动监测。你应该使用SSL来加密你的用户内容。
创建SSL证书
执行以下命令：

  1. cd /usr/local/nginx/conf
  2. openssl genrsa -des3 -out server.key 1024
  3. openssl req -new -key server.key -out server.csr
  4. cp server.key server.key.org
  5. openssl rsa -in server.key.org -out server.key
  6. openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

编辑nginx.conf并按如下来更新：

  1. server {
  2. server_name example.com;
  3. listen 443;
  4. ssl on;
  5. ssl_certificate /usr/local/nginx/conf/server.crt;
  6. ssl_certificate_key /usr/local/nginx/conf/server.key;
  7. access_log /usr/local/nginx/logs/ssl.access.log;
  8. error_log /usr/local/nginx/logs/ssl.error.log;
  9. }

重启nginx:

  1. /usr/local/nginx/sbin/nginx -s reload

十六、Nginx与PHP安全建议

PHP是流行的服务器端脚本语言之一。如下编辑/etc/php.ini文件：前端UI分享

  1. # Disallow dangerous functions
  2. disable_functions = phpinfo, system, mail, exec
  3. ## Try to limit resources  ##
  4. # Maximum execution time of each script, in seconds
  5. max_execution_time = 30
  6. # Maximum amount of time each script may spend parsing request data
  7. max_input_time = 60
  8. # Maximum amount of memory a script may consume (8MB)
  9. memory_limit = 8M
  10. # Maximum size of POST data that PHP will accept.
  11. post_max_size = 8M
  12. # Whether to allow HTTP file uploads.
  13. file_uploads = Off
  14. # Maximum allowed size for uploaded files.
  15. upload_max_filesize = 2M
  16. # Do not expose PHP error messages to external users
  17. display_errors = Off
  18. # Turn on safe mode
  19. safe_mode = On
  20. # Only allow access to executables in isolated directory
  21. safe_mode_exec_dir = php-required-executables-path
  22. # Limit external access to PHP environment
  23. safe_mode_allowed_env_vars = PHP_
  24. # Restrict PHP information leakage
  25. expose_php = Off
  26. # Log all errors
  27. log_errors = On
  28. # Do not register globals for input data
  29. register_globals = Off
  30. # Minimize allowable PHP post size
  31. post_max_size = 1K
  32. # Ensure PHP redirects appropriately
  33. cgi.force_redirect = 0
  34. # Disallow uploading unless necessary
  35. file_uploads = Off
  36. # Enable SQL safe mode
  37. sql.safe_mode = On
  38. # Avoid Opening remote files
  39. allow_url_fopen = Off

十七、如果可能让Nginx运行在一个chroot监狱

把nginx放在一个chroot监狱以减小潜在的非法进入其它目录。你可以使用传统的与nginx一起安装的chroot。如果可能，那使用FreeBSD jails，Xen，OpenVZ虚拟化的容器概念。

十八、在防火墙级限制每个IP的连接数

网络服务器必须监视连接和每秒连接限制。PF和Iptales都能够在进入你的nginx服务器之前阻止最终用户的访问。
Linux Iptables:限制每次Nginx连接数
下面的例子会阻止来自一个IP的60秒钟内超过15个连接端口80的连接数。

  1. /sbin/iptables -A INPUT -p tcp –dport 80 -i eth0 -m state –state NEW -m recent –set
  2. /sbin/iptables -A INPUT -p tcp –dport 80 -i eth0 -m state –state NEW -m recent –update –seconds 60  –hitcount 15 -j DROP
  3. service iptables save

请根据你的具体情况来设置限制的连接数。

十九：配置操作系统保护Web服务器

像以上介绍的启动SELinux.正确设置/nginx文档根目录的权限。Nginx以用户nginx运行。但是根目录（/nginx或者/usr /local/nginx/html）不应该设置属于用户nginx或对用户nginx可写。找出错误权限的文件可以使用如下命令：前端UI分享

  1. find /nginx -user nginx
  2. find /usr/local/nginx/html -user nginx

确保你更所有权为root或其它用户，一个典型的权限设置 /usr/local/nginx/html/

  1. ls -l /usr/local/nginx/html/

示例输出：

  1. -rw-r–r– 1 root root 925 Jan  3 00:50 error4xx.html
  2. -rw-r–r– 1 root root  52 Jan  3 10:00 error5xx.html
  3. -rw-r–r– 1 root root 134 Jan  3 00:52 index.html

你必须删除由vi或其它文本编辑器创建的备份文件：

  1. find /nginx -name ‘.?*’ -not -name .ht* -or -name ‘*~’ -or -name ‘*.bak*’ -or -name ‘*.old*’
  2. find /usr/local/nginx/html/ -name ‘.?*’ -not -name .ht* -or -name ‘*~’ -or -name ‘*.bak*’ -or -name ‘*.old*’

通过find命令的-delete选项来删除这些文件。

二十、限制Nginx连接传出

黑客会使用工具如wget下载你服务器本地的文件。使用Iptables从nginx用户来阻止传出连接。ipt_owner模块试图匹配本地产生的数据包的创建者。下面的例子中只允许user用户在外面使用80连接。

  1. /sbin/iptables -A OUTPUT -o eth0 -m owner –uid-owner vivek -p tcp –dport 80 -m state –state NEW,ESTABLISHED  -j ACCEPT

通过以上的配置，你的nginx服务器已经非常安全了并可以发布网页。可是，你还应该根据你网站程序查找更多的安全设置资料。例如，wordpress或者第三方程序。

19
顶
0
踩
评论 共 2 条 请登录后发表评论
2 楼 tcrct 2014-09-03 00:43
顶起，好好学习。
1 楼 linginfanta 2014-09-02 11:42
顶起，好好学习。

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • 打造最安全的NginxWeb服务器借鉴.pdf

    打造最安全的NginxWeb服务器借鉴.pdf

  • 20步打造最安全的NGINX WEB服务器

    Nginx 是一个轻量级的，高性能的Web服务器以及反向代理和邮箱(IMAP/POP3)代理服务器。它运行在UNIX,GNU /linux,BSD 各种版本，Mac OS X,Solaris和Windows。根据调查统计，6%的网站使用Nginx Web服务器。Nginx是少数...

  • 20步打造最安全的Nginx web服务器

     转自：...  Nginx是一个轻量级的，高性能的Web服务器以及反向代理和邮箱 (IMAP/POP3)代理服务器。它运行在UNIX,GNU /linux,BSD 各种版本，Mac OS X,Solaris和Windows...

  • go 生成基于 graphql 服务器库.zip

    格奇尔根 首页 > 文件 > gqlgen是什么？gqlgen是一个 Go 库，用于轻松构建 GraphQL 服务器。gqlgen 基于 Schema 优先方法— 您可以使用 GraphQL Schema 定义语言来定义您的 API 。gqlgen 优先考虑类型安全— 您永远不应该看到map[string]interface{}这里。gqlgen 启用 Codegen — 我们生成无聊的部分，以便您可以专注于快速构建您的应用程序。还不太确定如何使用gqlgen？将gqlgen与其他 Go graphql实现进行比较快速启动初始化一个新的 go 模块mkdir examplecd examplego mod init example添加github.com/99designs/gqlgen到项目的 tools.goprintf '//go:build tools\npackage tools\nimport (_ "github.com/99designs/gqlgen"\n _ "github.com/99designs/gqlgen

  • 基于JAVA+SpringBoot+Vue+MySQL的社区物资交易互助平台 源码+数据库+论文(高分毕业设计).zip

    项目已获导师指导并通过的高分毕业设计项目，可作为课程设计和期末大作业，下载即用无需修改，项目完整确保可以运行。 包含：项目源码、数据库脚本、软件工具等，该项目可以作为毕设、课程设计使用，前后端代码都在里面。 该系统功能完善、界面美观、操作简单、功能齐全、管理便捷，具有很高的实际应用价值。 项目都经过严格调试，确保可以运行！可以放心下载 技术组成 语言：java 开发环境：idea 数据库：MySql8.0 部署环境：maven 数据库工具：navicat

  • 法研杯2021类案检索赛道三等奖方案源码+项目说明+数据.zip

    法研杯2021类案检索赛道三等奖方案源码+项目说明+数据.zip是一个专为计算机相关专业（如计科、信息安全、数据科学与大数据技术等）学生设计的宝贵学习资源。该压缩包包含了完整的项目源码、详细的项目说明文档以及用于训练和测试的数据集，旨在帮助参赛者深入理解并掌握类案检索的相关技术和方法。该项目通过实际案例，展示了如何运用自然语言处理和机器学习技术对法律案件进行智能检索和匹配。项目内容涵盖了从数据预处理、特征提取到模型训练和评估的全过程，为学习和研究类案检索技术提供了全面的参考。本项目不仅适合作为课程设计、期末大作业或毕设项目的参考，也是企业员工提升技能、进行实践操作的优质学习资料。通过实际操作和学习该项目，用户可以加深对类案检索技术的理解，并在实践中不断提升自己的技能水平。请注意，由于该资源包含完整的项目源码和数据集，下载和使用时请确保遵守相关法律法规和道德规范，尊重知识产权和隐私权。同时，建议用户在使用前仔细阅读项目说明文档，了解项目的整体架构和使用方法，以便更好地利用该资源进行学习和研究。

  • 基于Cesium实现的对倾斜摄影模型的单体化分层方案源码.zip

    本资源提供了基于Cesium实现的倾斜摄影模型单体化分层方案的完整源码，旨在帮助开发者深入理解并实践三维地理空间数据的处理与展示。通过Cesium平台，用户能够将倾斜摄影获取的高精度三维模型进行单体化和分层处理，实现对模型中每个独立元素的精细管理和交互操作。该资源适合具备一定计算机编程基础的学习者，特别是对Cesium感兴趣的学生、研究人员及GIS行业从业者。通过下载并学习这些源码，用户可以掌握倾斜摄影模型在Cesium中的加载、单体化以及分层显示等关键技术，进而提升自己在三维地理信息系统开发领域的技能水平。

  • Go 的 PostgreSQL 驱动程序和工具包.zip

    Go 的 PostgreSQL 驱动程序和工具包 pgx - PostgreSQL 驱动程序和工具包pgx 是 PostgreSQL 的纯 Go 驱动程序和工具包。pgx 驱动程序是一个低级、高性能接口，它公开了 PostgreSQL 特定的功能，例如LISTEN/ NOTIFY和COPY。它还包括一个标准database/sql接口的适配器。工具包组件是一组相关的软件包，用于实现 PostgreSQL 功能，例如解析线路协议以及 PostgreSQL 与 Go 之间的类型映射。这些底层软件包可用于实现替代驱动程序、代理、负载均衡器、逻辑复制客户端等。示例用法package mainimport ( "context" "fmt" "os" "github.com/jackc/pgx/v5")func main() { // urlExample := "postgres://username:password@localhost:5432/database_name" conn, err := pgx.Connect(context.B

  • C#ASP.NET中小型超市管理系统源码数据库 SQL2012源码类型 WinForm

    ASP.NET中小型超市管理系统源码 超市管理系统是专门为中小型超市打造的管理系统，可以方便管理时更加准确清晰的查看商品信息， 仓库出售与进货的信息，还有每一个部门员工的信息，也更加直观的体现出每一阶段的商品销售情况； 从而提高项目管理水平，实现了工作的协同化、提高了工作效率 二、功能介绍 1.1 UI Requirements界面要求 (1)界面美观，给用户一种很舒心的感觉。 (2)界面所体现出的功能清晰明了，让用户一目了然。 (3)界面的背景颜色搭配符合超市管理系统界面的设计理念。 1.2 UI Requirements界面要求 (1) 使用ADO.NET与数据库交互制作 (2) 使用Visual Studio设计窗体布局 (3) 使用提供的用控件快速开发 1.3 Development Environment 开发环境 (1) 开发工具：Visua

  • 毕设&课程作业_基于C#的易知仓库管理系统.zip

    计算机系毕业设计

  • Go 编程教程的主列表、其撰写、其源代码以及其当前构建状态！.zip

    教程边缘TutorialEdge.net Go 教程 ‍‍欢迎来到 TutorialEdge Go 存储库！此 repo 的目标是能够跟踪所有 Go 教程及其各自的 github repo 位置和构建状态。这些将在 Go 最新版本发布时更新和运行。目录初学者教程中级教程高级教程DevOps项目数据格式并发教程挑战初学者教程这些教程主要针对那些希望提高对 Go 语言工作原理的基本理解的语言新手！教程标题 教程边缘 Github 构建状态 更新日期01 - Go 入门 阅读教程 TutorialEdge/getting-started-with-go 不适用02 - Go 基本类型教程 阅读教程 TutorialEdge/go-basic-types-tutorial 不适用03 - Go 复合类型教程 阅读教程 TutorialEdge/go-complex-types-tutorial 不适用04 - Go 函数教程 阅读教程 TutorialEdge/go-functions-tutorial 2019 年 3 月 27 日

  • 基于JAVA+SpringBoot+Vue+MySQL的敬老院管理系统 源码+数据库(高分毕业设计).zip

    项目已获导师指导并通过的高分毕业设计项目，可作为课程设计和期末大作业，下载即用无需修改，项目完整确保可以运行。 包含：项目源码、数据库脚本、软件工具等，该项目可以作为毕设、课程设计使用，前后端代码都在里面。 该系统功能完善、界面美观、操作简单、功能齐全、管理便捷，具有很高的实际应用价值。 项目都经过严格调试，确保可以运行！可以放心下载 技术组成 语言：java 开发环境：idea 数据库：MySql8.0 部署环境：maven 数据库工具：navicat

  • 基于LSB实现对水印图片，文字等信息的隐藏隐写和提取的DEMO源码(功能包括嵌入水印，提取水印等）.zip

    本资源是一个基于LSB（最低有效位）算法实现的水印图片和文字信息隐藏与提取的DEMO源码。该源码展示了如何将水印图片或文字信息嵌入到宿主图像中，以及如何从宿主图像中提取出隐藏的信息。功能包括嵌入水印和提取水印等操作。通过使用LSB算法，该源码实现了对水印图片和文字信息的隐写和提取。LSB算法是一种常用的图像处理技术，通过修改图像的最低有效位来嵌入额外的信息。在嵌入过程中，源码将水印图片或文字信息转换为二进制数据，并将其嵌入到宿主图像的像素值中。在提取过程中，源码从宿主图像中读取嵌入的二进制数据，并将其转换回原始的水印图片或文字信息。本资源适用于学习和研究图像隐写术的相关领域。通过阅读和运行该源码，用户可以了解LSB算法的原理和应用，掌握如何在图像中隐藏和提取水印图片和文字信息的方法。请注意，本资源仅供学习使用，不得用于任何非法用途。

  • 毕设&课程作业_基于C#的和SQLServer2014的学生成绩管理系统 .zip

    计算机系毕业设计

  • 基于Flask，mysql slope one的图书推荐系统全部资料+详细文档.zip

    【资源说明】 基于Flask，mysql slope one的图书推荐系统全部资料+详细文档.zip 【备注】 1、该项目是个人高分项目源码，已获导师指导认可通过，答辩评审分达到95分 2、该资源内项目代码都经过测试运行成功，功能ok的情况下才上传的，请放心下载使用！ 3、本项目适合计算机相关专业(人工智能、通信工程、自动化、电子信息、物联网等)的在校学生、老师或者企业员工下载使用，也可作为毕业设计、课程设计、作业、项目初期立项演示等，当然也适合小白学习进阶。 4、如果基础还行，可以在此代码基础上进行修改，以实现其他功能，也可直接用于毕设、课设、作业等。 欢迎下载，沟通交流，互相学习，共同进步！

  • 【java毕业设计】中小企业人力资源管理系统的设计及实现源码（ssm+jsp+mysql+说明文档+LW）.zip

    员工信息管理： 添加员工：录入新员工的信息到系统。 修改员工：对现有员工信息进行更新和修改。 考勤管理： 上班打卡：记录员工上班的考勤信息。 下班打卡：记录员工下班的考勤信息。 考勤查看：查看员工的考勤记录。 奖惩管理： 添加奖惩：记录员工的奖励或惩罚信息。 修改奖惩：对奖惩记录进行修改。 删除奖惩记录：从系统中移除奖惩记录。 绩效管理： 添加绩效：录入员工的绩效评估信息。 修改绩效：对绩效评估信息进行修改。 删除绩效：删除绩效评估信息。 离职退休费用： 添加费用：录入与离职或退休相关的费用信息。 修改费用：对费用信息进行修改。 删除费用：移除费用信息。 培训管理： 添加培训：录入新的培训计划或课程。 修改培训：对培训计划或课程进行修改。 删除培训：从系统中移除培训计划或课程。 项目包含完整前后端源码和数据库文件 环境说明： 开发语言：Java 框架：ssm，mybatis JDK版本：JDK1.8 数据库：mysql 5.7 数据库工具：Navicat11 开发软件：eclipse/idea Maven包：Maven3.3 服务器：tomcat7

  • 毕设&课程作业_基于C#的会员管理系统.zip

    计算机系毕业设计

  • redis键值数据库源码分析.zip

    redis键值数据库源码分析Redis 代码redis键值数据库源码分析test:（测试）memtest.c 内存检测redis_benchmark.c用于redis性能测试的实现。redis_check_aof.c 用于更新日志检查的实现。redis_check_dump.c 用于本地数据库检查的实现。testhelp.c 一个C风格的小型测试框架。struct:（结构体）adlist.c用于对列表的定义，它是一个端点链表结构dict.c主要用于内存中的hash进行管理sds.c 用于对字符串的定义Sparkline.c 一个拥有样本列表的序列t_hash.c hash在Server/Client中的自定义操作。主要通过redisObject进行类型转换。t_list.c list在Server/Client中的应答操作。主要通过redisObject进行类型转换。t_set.c set在Server/Client中的应答操作。主要通过redisObject进行类型转换。t_string.c string在Server/Client中的应答操作。主要

Global site tag (gtag.js) - Google Analytics