隐藏Nginx软件版本号信息
Nginx 每个版本都有特定的漏洞，通过隐藏版本可以增加被入侵的难度
只需要在Nginx配置文件nginx.conf 的http 标签段内加入“server_tokens off; ”
当然更有效的方法就是更改源码隐藏的Nginx软件名及版本号
修改的第一个文件为/nginx-1.10.3/src/core/nginx.h 如下
[root@2kb.com]# sed -n '13,17p' nginx.h
#define NGINX_VERSION "2.10.10" #此处修改版本号
#define NGINX_VER "OWS/" NGINX_VERSION #一起修改
修改第二个文件是nginx-1.13.3/src/http/ngx_http_header_filter_module.c
通过sed替换：
sed -i 's#Server: nginx#Server: OWS#g' ngx_http_header_filter_module.c
修改第三个配置文件是：nginx-1.13.3/src/http/ngx_http_special_response.c
[root@2kb.com]# sed -n '21,31p' ngx_http_special_response.c
static u_char ngx_http_error_full_tail[] =
"<hr><center>" OWS "</center>" CRLF #<==将此处修改为“OWS”
"</body>" CRLF
"</html>" CRLF;
第二步修改完后需要重新编译
--prefix=/application/nginx-1.3.3 --user=www --group=www --with-http_stub_status_module --with-http_ssl_module
最后可以通过在命令行curl 命令查看效果
更改Nginx服务的默认用户
1.useradd nginx -s /sbin/nologin -M
#首先这里先创建一个nginx用户
2.修改配置文件nginx.conf
user nginx nginx;
Nginx日志修改
参考配置操作
(1)编辑 nginx.conf 配置文件
将 error_log 前的“#”去掉，记录错误日志
将 access_log 前的“#”去掉，记录访问日志
(2)设置 access_log，修改配置文件如下：
log_format formatname '$remote_addr - $remote_user [$time_local] '
' "$request" $status $body_bytes_sent "$http_referer" '
' "$http_user_agent" "$http_x_forwarded_for"'; access_log
logs/access.log formantname; #formatname 设置配置文件格式的名称
注意
查看 nginx.conf 配置文件中，error_log、access_log 前的“#”是否去掉
限制 IP 访问
对网站或敏感目录的访问 IP 进行限制
参考配置操作
(1)修改配置文件
#vi /usr/local/nginx/conf/nginx.conf
具体设置如下：
location / {
deny 192.168.1.1; #拒绝 IP
allow 192.168.1.0/24; #允许 IP
allow 10.1.1.0/16; #允许 IP
deny all; #拒绝其他所有 IP
｝重新启动 nginx 服务
控制超时时间
修改配置文件
#vi /usr/local/nginx/conf/nginx.conf
具体设置如下：
client_body_timeout 10; #设置客户端请求主体读取超时时间
client_header_timeout 10; #设置客户端请求头读取超时时间
keepalive_timeout 5 5; #第一个参数指定客户端连接保持活动的超时时间，第二个参数是可选的，它指定了消息头保持活动的有效时间
send_timeout 10; #指定响应客户端的超时时间
防盗链设置
修改配置文件
#vi /usr/local/nginx/conf/nginx.conf
具体设置如下：
location ~* ^.+.(gif|jpg|png|swf|flv|rar|zip)$ {
valid_referers none blocked server_names *.2kb.com
http://localhost 2kb.com;
if ($invalid_referer) {
rewrite ^/ [img]http://www.2kb.com/images/default/logo.gif[/img];
# return 403;
}
}
自定义错误信息
修改 src/http/ngx_http_special_response.c，自定义错误信息
## messages with just a carriage return.
static char ngx_http_error_400_page[] = CRLF;
static char ngx_http_error_404_page[] = CRLF;
static char ngx_http_error_413_page[] = CRLF;
static char ngx_http_error_502_page[] = CRLF;
static char ngx_http_error_504_page[] = CRLF;
防止缓存溢出
[root@2kb.com]# vim /usr/local/nginx/conf/nginx.conf
http {
client_body_buffer_size 8K; #主体缓存空间
client_max_body_size 16k; #主体最大缓存
client_header_buffer_size 1k; #默认请求包头信息的缓存
large_client_header_buffers 4 4k; #大请求包头信息的缓存个数，每个 缓存的容量
...}拒绝非POST或者GET的请求
[root@2kb.com]# vim /usr/local/nginx/conf/nginx.conf
server {
...
if ($request_method !~ ^(GET|POST)$ ) {return 404;} #访问类型不是 GET或乾POST 时，返回 404错误
}预防SSRF漏洞
SSRF(服务端请求伪造)漏洞常出现在反向代理的配置中，反向代理如下：
proxy_pass http ://www.2kb.com
如果攻击者可以操控IP, 将其修改成内网IP地址即可造成SSRF漏洞。
设置alias目录的别名
location /2kbfile {
alias /2kbcom/;
}
使用HTTPS认证
HTTP认证默认使用crypt，哈希不安全，此处省略500字
减少使用"if"语句
"if"是重写模块的一部分，尽量不要使用。
“if”声明重写模块评估指令强制性的部分。也就是说，Nginx的配置一般来说是声明式的。
在某些情况下，由于用户的需求，他们试图在一些非重写指令内使用“if”，这导致我们现在遇到的情况。大多数情况下都能正常工作。
所以如果可以不用"if"就完全不用
对Nginx后台限制IP访问
使用域名限制访问
如果机器人只是随机扫描服务器的所有域名，那拒绝这个请求。你必须允许配置的虚拟域或反向代理请求。你不必使用IP地址来拒绝。
if ($host !~ ^(2kb.com|www.2kb.com|images.2kb.com)$ ) {
return 404; #尽量返回404,让攻击者更难猜测错误
}
限制User-Agents访问
通过User-Agents,限制扫描器，机器人，垃圾蜘蛛，垃圾邮件发送者等
## Block download agents ##
if ($http_user_agent ~* LWP::Simple|BBBike|wget) {
return 403;
}如果业务在国内，国外流量带来不了客户，可以参考www.2kb.com的配置，阻止国外的蜘蛛Scrapy,MJ12bot访问
if ($http_user_agent ~* Scrapy|MJ12bot) {
return 403;
}
Nginx目录限制
可以限制访问目录/admin/:
location /admin/ {
deny all;
}
Nginx与PHP的安全配置
如下编辑/etc/php.ini文件：
# Disallow dangerous functions
disable_functions = phpinfo, system, mail, exec
## Try to limit resources ##
# Maximum execution time of each script, in seconds
max_execution_time = 30
# Maximum amount of time each script may spend parsing request data
max_input_time = 60
# Maximum amount of memory a script may consume (8MB)
memory_limit = 8M
# Maximum size of POST data that PHP will accept.
post_max_size = 8M
# Whether to allow HTTP file uploads.
file_uploads = Off
# Maximum allowed size for uploaded files.
upload_max_filesize = 2M
# Do not expose PHP error messages to external users
display_errors = Off
# Turn on safe mode
safe_mode = On
# Only allow access to executables in isolated directory
safe_mode_exec_dir = php-required-executables-path
# Limit external access to PHP environment
safe_mode_allowed_env_vars = PHP_
# Restrict PHP information leakage
expose_php = Off
# Log all errors
log_errors = On
# Do not register globals for input data
register_globals = Off
# Minimize allowable PHP post size
post_max_size = 1K
# Ensure PHP redirects appropriately
cgi.force_redirect = 0
# Disallow uploading unless necessary
# Enable SQL safe mode
sql.safe_mode = On
# Avoid Opening remote files
allow_url_fopen = Off
此处省略说明...
限制相同IP的并发数
同一用户正常操作下，很少会产生大量的并发，相同用户产生大量并发，基本上是异常
使用Nginx HttpLimitZone模块来限制指定的会话或者一个IP地址的特殊情况下的并发连接。
配置nginx.conf:
### Directive describes the zone, in which the session states are stored i.e. store in slimits. ###
### 1m can handle 32000 sessions with 32 bytes/session, set to 5m x 32000 session ###
limit_zone slimits $binary_remote_addr 5m;
### Control maximum number of simultaneous connections for one session i.e. ###
### restricts the amount of connections from a single ip address ###
limit_conn slimits 6;
先到这里，后台继续更新，有问题可以留言帮你解决。
2KB项目（www.2kb.com，源码交易平台）,提供担保交易、源码交易、虚拟商品、在家创业、在线创业、任务交易、网站设计、软件设计、网络兼职、站长交易、域名交易、链接买卖、网站交易、广告买卖、站长培训、建站美工等服务
