专栏首页李洋博客Nginx服务器配置中禁用不安全的HTTP方法

Nginx服务器配置中禁用不安全的HTTP方法

我又双叒叕来了,当然今天的文章还是Web安全防护的内容,发现一个问题,我现在离开宝塔面板估计都生存不下去了,首先我本身是一个强迫症患者,不允许自己的站点有什么高危,中危漏洞(其实还真有,只是懒得修改),宝塔有自己的安全策略,基本都能满足了日常的攻击行为,为了安全起见,我还特意开启了网站CDN服务,进一步加强了服务器的安全防护,所以没有真正意义的去做过一些防护措施,直至此次搭建华为的麒麟服务器才算是从底部一点点做了起来,当然这得排除程序之外,毕竟还是那句老话,我并不熟悉ThinkPHP(说的好像除了TP之外都熟悉一样,其他所有的程序只懂一丢丢的ZBP),好了,不废话了,今天修改nginx服务器中不常用的HTTP方法。

漏洞简介

从安全防护角度考虑,一般我们要禁用不安全的 HTTP 方法,仅保留 GET、POST或者其他常用的方法。

Nginx 禁用不安全(非~常用的)的http方法,既可以在Nginx配置文件 server 下进行全局设置,也可以在某个location下进行设置。先来看看此次漏洞的名称“信息泄露”不安全的方法,如图:

修复方法:

漏洞级别属于低危,还好,漏洞的意思是攻击者可以使用OPTIONS和Trace方法来枚举服务器的相关信息,修复的建议就是在服务器的配置中禁止非~常用的HTTP方法,代码中只支持常见的HTTP方法,添加的方法有很多,可以在伪静态设置也可以直接设置在网站的配置文件中,本身设置方法是在网站的配置文件中,具体代码参考如下:

if ($request_method !~ ^(GET|HEAD|POST)$) {
    return 403;
}

复制如上代码,找到站点,点击设置,找到配置文件,粘贴空白处就行,如图。

大概的意思就是,如果页面使用这三种(GET、HEAD、POST)之外的方法,网站直接返回403页面,无法获取更多信息,从而加强了服务器的安全性能,添加完成后保存,重载nginx配置文件就行了。

真的没接触过其他的程序,也没有真正的去扫描过网站的漏洞情况,不知道我们的ZBP会不会也存在这些漏洞,又或者这是服务器的漏洞跟程序的源代码并没有任何关系,也许吧,等我时间充裕了,我也去检测下,不过我估计这么低危的常见的漏洞应该是不会有了,毕竟服务器+CDN都设置了防护的措施,但即便如此我们还是要学会一些常见的攻防措施,毕竟常在河边走哪有不湿鞋的!

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • Nginx入门详解文档

    Nginx入门详解文档 1 文章内容 掌握nginx+tomcat反向代理的使用方法。 掌握nginx作为负载均衡器的使用方法。 掌握nginx实现web缓存...

    Java帮帮
  • 如何在Ubuntu 14.04上使用Fail2Ban保护Nginx服务器

    在操作Web服务器时,必须实施安全措施来保护您的站点和用户。使用防火墙策略保护您的网站和应用程序并使用密码身份验证限制对某些区域的访问是保护系统安全的一个很好的...

    林岑影
  • ☀️全网唯一万字长文讲解Nginx安装运营维护☀️《❤️记得收藏❤️》

    Nginx 是一款面向性能设计的 HTTP 服务器,能反向代理 HTTP,HTTPS 和邮件相关(SMTP,POP3,IMAP)的协议链接。并且提供了负载均...

    苏州程序大白
  • ☀️全网唯一万字长文讲解Nginx安装运营维护☀️《❤️记得收藏❤️》

    苏州程序大白
  • Nginx 常用配置汇总!从入门到干活足矣

    众所周知,Nginx 是 Apache服务不错的替代品。其特点是占有内存少,并发能力强,事实上 Nginx 的并发能力在同类型的网页服务器中表现较好,因此国内知...

    民工哥
  • linux主要发行版安装nginx教程

    [nginx] name=nginx repo baseurl=http://nginx.org/packages/OS/OSRELEASE/$basearch...

    ianzhi
  • 简单的LNMP安全加固

    Nginx配置文件 (nginx.conf):/usr/local/nginx/nginx.conf

    Mirror王宇阳
  • Nginx源码安装及调优配置

    由于Nginx本身的一些优点,轻量,开源,易用,越来越多的公司使用nginx作为自己公司的web应用服务器,本文详细介绍nginx源码安装的同时并对nginx进...

    shaonbean
  • 让nginx更安全的几点注意事项

    Nginx是当今最流行的Web服务器之一。它为世界上7%的web流量提供服务而且正在以惊人的速度增长。它是个让人惊奇的服务器,我愿意部署它。 下面是一个常见安全...

    后端技术探索
  • 服务器安防配置–笔记三–nginx构建https协议的wp站点

    折腾成功,留下记录.目录是:https是什么,nginx配置,sql全局替换,后台开启https链接,修复图片打不开,增加http禁止.

    我在鹅厂做安全
  • 确保nginx安全的10个技巧

    Nginx是当今最流行的Web服务器之一。它为世界上7%的web流量提供服务而且正在以惊人的速度增长。它是个让人惊奇的服务器,我愿意部署它。 下面是一个常见安全...

    后端技术探索
  • 借助PageSpeed,为Nginx网站服务器提速

    网站加载速度越快,访客互动性、留住率和转换率就越高,这早已不是什么秘密。网站每延迟 100 毫秒,亚马逊的销售额就会减少 1%;延迟增加 500 毫秒,这意味着...

    张戈
  • 爬虫、代理和Nginx

    做过爬虫的人应该都知道,抓的网站和数据多了,如果爬虫抓取速度过快,免不了触发网站的防爬机制,几乎用的同一招就是封IP。解决方案有2个:

    后端技术探索
  • nginx应用总结(1)--基础认识和应用配置

    在linux系统下使用nginx作为web应用服务,用来提升网站访问速度的经验已五年多了,今天在此对nginx的使用做一简单总结。 一、nginx服务简介 Ng...

    洗尽了浮华
  • CentOS6.5系统简单安装与配置Nginx服务器的方法

    本文实例讲述了CentOS6.5系统简单安装与配置Nginx服务器的方法。分享给大家供大家参考,具体如下:

    砸漏
  • LNMP之Nginx

    Nginx (engine x) 是一个高性能的HTTP和反向代理服务器,也是一个IMAP/POP3/SMTP服务器。Nginx是由伊戈尔·赛索耶夫为俄罗斯访问...

    用户1173509
  • Tomcat调优(不定期更新)

    之后会多出两个文件夹 进入org/apache/catalina/util编辑配置文件ServerInfo.properties 修改为

    仙人技术
  • 安装Nginx ? 要从娃娃抓起

    使用configure命令配置构建。它定义了系统的各个方面,包括允许使用nginx进行连接处理的方法。最后它创建一个Makefile。该configure命令支...

    CrazyCodes
  • Linux下Nginx1.8安装 原

    修改部署目录下conf子目录的nginx.conf文件(如nginx-1.5.13\conf\nginx.conf)内容,可调整相关配置。

    尚浩宇

扫码关注云+社区

领取腾讯云代金券