风险评估 - nginx作业指导书

第页共页第页共页 nginx安全评估现场记录表 2014年月1.评估对象对象名称及IP地址备注评估人员2.入场确认序号确认内容1评估对象中的关键数据已备份。如果没有备份则不进行核查2评估对象工作正常。如工作异常则不进行核查开始时间确认签字3.离场确认序号确认内容1评估工作未对评估对象造成不良影响，评估对象工作正常。结束时间确认签字4.评估记录序号安全子类评估类评估指标结果记录1安全功能系统配置查看基础系统安全性查看是否启用selinux安全模式rpm-qa|grepselinux无返回则表示未安装Sestatus查看selinux启动状态或查看/etc/selinux/config文件中的SELINUX=”"是否为disabled3、getsebool-a|less查看锁定系统===httpd===

//Ifyouwantaparticulardomaintowritetothepublic_content_rw_tdomain

setsebool-Pallow_httpd_anon_write=1

or

setsebool-Pallow_httpd_sys__anon_write=1

//httpdcanbesetuptoallowcgistobeexecuted

setsebool-Phttpd_enable_cgi1

//Ifyouwanttoallowaccesstousershomedirectories

setsebool-Phttpd_enable_homedirs1

chcon-R-thttpd_sys_content_t~user/public_html

//httpdisallowedaccesstothecontrolingterminal

setsebool-Phttpd_tty_comm1

//suchthatonehttpdservicecannotinterferewithanother

setsebool-Phttpd_unified0

//loadablemodulesrununderthesamecontextashttpd

setsebool-Phttpd_builtin_ing0

//httpdsareallowedtoconnectouttothenetwork

setsebool-Phttpd_can_network_connect1

//Youcandisablesuexectransition

setsebool-Phttpd_suexec_disable_trans1

//YoucandisableSELinuxprotectionforthehttpddaemonbyexecuting

setsebool-Phttpd_disable_trans1

servicehttpdrestart应去掉nginx分区的特殊权限如：noexec、nodev和onsetuid的权限查看/etc/fstableNginx的挂在分区应用过如下方式挂载LABEL=/nginx/nginxext3defaults,nosuid,noexec,nodev12禁止nginx显示版本号信息查看nginx.conf文件Server_tokensoffNginx安全扩展配置1、查看apache服务器是否安装mod_security模块访问控制查看防火墙配置策略，是否允许最小服务器访问iptables—L查看防火墙配置查看服务器管理地址访问权限iptables查防火墙配置查看/etc/host.allow及host.deny是否进行限制查看远程管理方式，是否加密认证信息传输1、查看远程管理方式查看nginx服务启用用户等信息1、通过top查看nginx服务的监听用户查看nginx安装目录访问权限1、通过ls-l方式显示该目录的访问权限限制基于域名的访问1、查看查看nginx.conf文件如果机器人只是随机扫描服务器的所有域名，那拒绝这个请求。你必须允许配置的虚拟域或反向代理请求。你不必使用IP地址来拒绝。##OnlyrequeststoourHostareallowedi.e.nixcraft.in,images.nixcraft.inandwww.nixcraft.inif($host!~^(nixcraft.in|www.nixcraft.in|images.nixcraft.in)$){return444;}##限制http的请求方法1、查看查看nginx.conf文件GET和POST是互联网上最常用的方法。Web服务器的方法被定义在RFC2616。如果Web服务器不要求启用所有可用的方法，它们应该被禁用。下面的指令将过滤只允许GET，HEAD和POST方法：##Onlyallowtheserequestmethods##if($request_method!~^(GET|HEAD|POST)$){return444;}##DonotacceptDELETE,SEARCHandothermethods##网站内容盗链封锁1、查看查看nginx.conf文件#Stopdeeplinkingorhotlinkinglocation/images/{valid_referersnoneblocked;if($invalid_referer){return403;}}例如：重定向并显示指定图片valid_referersblocked;if($invalid_referer){rewrite^/images/uploads.*\.(gif|jpg|jpeg|png)$/banned.jpglast}目录访问限制你可以通过IP地址来限制访问目录/admin/:location/docs/{##blockoneworkstationdeny;##allowanyonein/24allow/24;##droprestoftheworlddenyall;}通过密码保护目录

首先创建密码文件并增加“user”用户：mkdir/usr/local/nginx/conf/.htpasswd/htpasswd-c/usr/local/nginx/conf/.htpasswd/passwduser编辑nginx.conf,加入需要保护的目录：###PasswordProtect/personal-images/and/delta/directories###location~/(personal-images/.*|delta/.*){auth_basic"Restricted";auth_basic_user_file/usr/local/nginx/conf/.htpasswd/passwd;}一旦密码文件已经生成，你也可以用以下的命令来增加允许访问的用户：htpasswd-s/usr/local/nginx/conf/.htpasswd/passwduserName缓冲区溢出查看缓冲区大小限制信息查看nginx.conf文件##Start:SizeLimits&BufferOverflows##client_body_buffer_size1K;client_header_buffer_size1k;client_max_body_size1k;large_client_header_buffers21k;##END:SizeLimits&BufferOverflows##查看客户端连接超时时间1、查看nginx.conf文件##Start:Timeouts##client_body_timeout10;client_header_timeout10;keepalive_timeout55;send_timeout10;##End:Timeouts##并发连接数限制查看nginx.conf文件是否通过NginxHttpLimitZone模块来限制指定的会话或者一个IP地址的特殊情况下的并发连接如下：###Directivedescribesthezone,inwhichthesessionstatesarestoredi.e.storeinslimits.######1mcanhandle32000sessionswith32bytes/session,setto5mx32000session###limit_zon