SCG WS nginx - OWASP

概括

这提供了 NginX 安全配置强化指南。配置指南侧重于 NginX 本身。因此，Linux 操作系统配置加固不在此处介绍。

它包括以下主题： 2.1 缓冲区溢出保护 2.2 删除不必要的备份文件 2.3 删除版本号 2.4 缓解缓慢的 HTTP DoS 攻击 2.5 仅允许访问指定域 2.6 限制 IP 客户端访问 2.7 SSL/TLS 配置 2.8 SSL 模块 2.9 HTTP 安全标头 2.10限制 HTTP 方法

安全配置

缓冲区溢出保护

 ## Size Limits & Buffer Overflows ## the size may be configured based on the needs. client_body_buffer_size  100K;client_header_buffer_size 1k;client_max_body_size 100k;large_client_header_buffers 2 1k;

有关每个配置值的详细信息，请参阅此处。 http://nginx.org/en/docs/http/ngx_http_core_module.html

基于 CIS Appache 配置指南

• 将 Http 请求头的大小限制为 1024 字节或更小
• 将请求正文中允许的字节数限制为 102400 或更少

删除不必要的备份文件

使用以下命令搜索是否有任何不必要的备份文件要删除。

# find /nginx -name '.?*' -not -name .ht* -or -name '*~' -or -name '*.bak*' -or -name '*.old*'
# find /usr/local/nginx/html/ -name '.?*' -not -name .ht* -or -name '*~' -or -name '*.bak*' -or -name '*.old*'

删除版本号

# 显示nginx版本号错误或http头可能导致黑客搜索已知漏洞。 
# 因此，应该为每个 http 响应删除版本号。

server_tokens off;

缓解慢速 HTTP DoS 攻击

 ## Timeouts definition ##client_body_timeout   10;client_header_timeout 10;keepalive_timeout     5 5;send_timeout          10;## End ##

• client_body_timeout：定义读取客户端请求正文的超时时间。超时仅在两次连续读取操作之间设置，而不是为整个请求正文的传输设置。如果客户端在此时间内没有传输任何内容，则向客户端返回 408（请求超时）错误。
• client_header_timeout：定义读取客户端请求头的超时时间。如果客户端在这段时间内没有传输整个标头，则向客户端返回 408（请求超时）错误。
• keepalive_timeout：第一个参数设置一个超时时间，在此期间，客户端连接将在服务器端保持打开状态。零值禁用保持活动客户端连接。可选的第二个参数在“Keep-Alive: timeout=time”响应头字段中设置一个值。两个参数可能不同。Mozilla 和 Konqueror 可以识别“Keep-Alive: timeout=time”标头字段。MSIE 在大约 60 秒内自行关闭保持连接。
• send_timeout：设置向客户端发送响应的超时时间。超时仅在两个连续的写操作之间设置，而不是为整个响应的传输而设置。如果客户端在这段时间内没有收到任何内容，则关闭连接。

有关每个配置值的详细信息，请参阅此处。 http://nginx.org/en/docs/http/ngx_http_core_module.html

只允许访问指定域

##  i.e. abc.com, images.abc.com and www.abc.comif ($host !~ ^(abc.com|www.abc.com|images.abc.com)$ ) {return 444;}
##

限制 IP 客户端访问

仅将特定文件夹限制为某些源 IP 客户端。

   ## the docs folder is only allowed specific IP range in 192.168.1.0/24location /docs/ {## block one workstationdeny    192.168.1.1;## allow anyone in 192.168.1.0/24allow   192.168.1.0/24;## drop rest of the worlddeny    all;
}

SSL/TLS 配置

禁用 SSLv3（自 nginx 0.8.19 起默认启用）

server {# SSL protocols TLS v1~TLSv1.2 are allowed. Disabed SSLv3ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
}

有关 SSL 模块配置的更多详细信息，请参阅http://wiki.nginx.org/NginxHttpSslModule

SSL 模块

server {# enables server-side protection from BEAST attacksssl_prefer_server_ciphers on;# Disabled insecure ciphers suite. For example, MD5, DES, RC4, PSKssl_ciphers "ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES256-GCM-SHA384:AES128-GCM-SHA256:AES256-SHA256:AES128-SHA256:AES256-SHA:AES128-SHA:DES-CBC3-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!MD5:!PSK:!RC4:@STRENGTH";# -!MEDIUM：exclude encryption cipher suites using 128 bit encryption.# -!LOW：   exclude encryption cipher suites using 64 or 56 bit encryption algorithms # -!EXPORT： exclude export encryption algorithms including 40 and 56 bits algorithms.# -!aNULL：  exclude the cipher suites offering no authentication. This is currently the anonymous DH algorithms and anonymous ECDH algorithms.   # These cipher suites are vulnerable to a "man in the middle" attack and so their use is normally discouraged.# -!eNULL：exclude the "NULL" ciphers that is those offering no encryption. # Because these offer no encryption at all and are a security risk they are disabled unless explicitly included.# @STRENGTH：sort the current cipher list in order of encryption algorithm key length.	}

HTTP 安全标头

# X-Frame-Options is to prevent from clickJacking attack
add_header X-Frame-Options SAMEORIGIN;#  disable content-type sniffing on some browsers.
add_header X-Content-Type-Options nosniff;# This header enables the Cross-site scripting (XSS) filter
add_header X-XSS-Protection "1; mode=block";# This will enforce HTTP browsing into HTTPS and avoid ssl stripping attack
add_header Strict-Transport-Security "max-age=31536000; includeSubdomains;";

参考https://www.owasp.org/index.php/List_of_useful_HTTP_headers

限制 HTTP 方法

## Only GET, Post, PUT are allowed##if ($request_method !~ ^(GET|PUT|POST)$ ) {return 444;}
## In this case, it does not accept other HTTP method such as HEAD, DELETE, SEARCH, TRACE ##

在大多数情况下，建议禁用 TRACE 方法。