搜索

[22159] 2021-07-15_Nginx安全配置

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-07-15_Nginx安全配置 N g i n x 安 全 配 置 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 7 - 1 5 0 x 0 0   测 试 环 境 测 试 环 境 0 x 0 1   N g i n x 介 绍 介 绍 n g i n x 本 身 不 能 处 理 本 身 不 能 处 理 P H P ， 它 只 是 个 ， 它 只 是 个 w e b 服 务 器 ， 当 接 收 到 请 求 后 ， 如 果 是 服 务 器 ， 当 接 收 到 请 求 后 ， 如 果 是 p h p 请 求 ， 则 发 给 请 求 ， 则 发 给 p h p 解 释 器 处 理 ， 并 把 结 果 返 回 解 释 器 处 理 ， 并 把 结 果 返 回 给 客 户 端 。 给 客 户 端 。 n g i n x 一 般 是 把 请 求 发 一 般 是 把 请 求 发 f a s t c g i 管 理 进 程 处 理 ， 管 理 进 程 处 理 ， f a s t c g i 管 理 进 程 选 择 管 理 进 程 选 择 c g i 子 进 程 处 理 结 果 并 返 回 被 子 进 程 处 理 结 果 并 返 回 被 n g i n x 。 。 n g i n x 涉 及 到 两 个 账 户 ， 一 个 是 涉 及 到 两 个 账 户 ， 一 个 是 n g i n x 的 运 行 账 户 ， 一 个 是 的 运 行 账 户 ， 一 个 是 p h p - f p m 的 运 行 账 户 。 如 果 访 问 的 是 一 个 静 态 文 件 ， 则 只 需 要 的 运 行 账 户 。 如 果 访 问 的 是 一 个 静 态 文 件 ， 则 只 需 要 n g i n x 的 运 行 账 户 对 文 件 具 有 读 取 权 限 ； 而 如 果 访 问 的 是 一 个 的 运 行 账 户 对 文 件 具 有 读 取 权 限 ； 而 如 果 访 问 的 是 一 个 p h p 文 件 ， 则 首 先 需 要 文 件 ， 则 首 先 需 要 n g i n x 的 运 行 账 户 对 文 件 有 读 取 权 限 ， 读 取 到 的 运 行 账 户 对 文 件 有 读 取 权 限 ， 读 取 到 文 件 后 发 现 是 一 个 文 件 后 发 现 是 一 个 p h p 文 件 ， 则 转 发 给 文 件 ， 则 转 发 给 p h p - f p m ， 此 时 则 需 要 ， 此 时 则 需 要 p h p - f p m 账 户 对 文 件 具 有 读 取 权 限 。 账 户 对 文 件 具 有 读 取 权 限 。 0 x 0 2   研 究 发 现 的 结 论 研 究 发 现 的 结 论 1 .   l i n u x 下 ， 要 读 取 一 个 文 件 ， 首 先 需 要 具 有 对 文 件 所 在 文 件 夹 的 执 行 权 限 , 然 后 需 要 对 文 件 的 读 取 权 限 。 2 .   p h p 文 件 的 执 行 不 需 要 文 件 的 执 行 权 限 ， 只 需 要 n g i n x 和 p h p - f p m 运 行 账 户 的 读 取 权 限 。 3 .   上 传 木 马 后 ， 能 不 能 列 出 一 个 文 件 夹 的 内 容 ， 跟 p h p - f p m 的 运 行 账 户 对 文 件 夹 的 读 取 权 限 有 关 。 4 .   木 马 执 行 命 令 的 权 限 跟 p h p - f p m 的 账 户 权 限 有 关 。 5 .   如 果 木 马 要 执 行 命 令 ， 需 要 p h p - f p m 的 账 户 对 相 应 的 s h 有 执 行 权 限 。 6 .   要 读 取 一 个 文 件 夹 内 的 文 件 ， 是 不 需 要 对 文 件 夹 有 读 取 权 限 的 ， 只 需 要 对 文 件 夹 有 执 行 权 限 。 0 x 0 3   N g i n x 服 务 器 涉 及 到 的 安 全 配 置 服 务 器 涉 及 到 的 安 全 配 置 0 x 0 4   常 见 需 要 配 置 的 操 作 方 法 常 见 需 要 配 置 的 操 作 方 法 1 .   禁 止 一 个 目 录 的 访 问 示 例 ： 禁 止 访 问 p a t h 目 录 操 作 系 统 ： C e n t O S 6 . 5 W e b 服 务 器 ： N g i n x 1 . 4 . 6 P h p 版 本 ： P h p 5 . 4 . 2 6 1 .   N g i n x . c o n f 的 配 置   2 .   p h p - f p m . c o n f 的 配 置   3 .   n g i n x 和 p h p - f p m 的 运 行 账 户 对 磁 盘 的 权 限 配 置 4 .   P h p . i n i 的 配 置 l o c a t i o n   ^ ~   / p a t h   {   d e n y   a l l ;   }
可 以 把 p a t h 换 成 实 际 需 要 的 目 录 ， 目 录 p a t h 后 是 否 带 有 " / " , 带 “ / ” 会 禁 止 访 问 该 目 录 和 该 目 录 下 所 有 文 件 。 不 带 " / " 的 情 况 就 有 些 复 杂 了 ， 只 要 目 录 开 头 匹 配 上 那 个 关 键 字 就 会 禁 止 ； 注 意 要 放 在 f a s t c g i 配 置 之 前 。 2 .   禁 止 p h p 文 件 的 访 问 及 执 行 示 例 ： 去 掉 单 个 目 录 的 P H P 执 行 权 限 示 例 ： 去 掉 多 个 目 录 的 P H P 执 行 权 限 3 .   禁 止 I P 的 访 问 示 例 ： 禁 止 I P 段 的 写 法 ： 示 例 ： 只 允 许 某 个 I P 或 某 个 I P 段 用 户 访 问 ， 其 它 的 用 户 全 都 禁 止 0 x 0 5   需 要 解 决 的 常 见 问 题 需 要 解 决 的 常 见 问 题 1 .   让 木 马 上 传 后 不 能 执 行 针 对 上 传 目 录 ， 在 n g i n x 配 置 文 件 中 加 入 配 置 ， 使 此 目 录 无 法 解 析 p h p 。 2 .   让 木 马 执 行 后 看 不 到 非 网 站 目 录 文 件 取 消 p h p - f p m 运 行 账 户 对 于 其 他 目 录 的 读 取 权 限 。 3 .   木 马 执 行 后 命 令 不 能 执 行 取 消 p h p - f p m 账 户 对 于 s h 的 执 行 权 限 。 4 .   命 令 执 行 后 权 限 不 能 过 高 P h p - f p m 账 户 不 要 用 r o o t 或 者 加 入 r o o t 组 。 0 x 0 6   N g i n x 安 全 配 置 方 案 安 全 配 置 方 案 1 .   修 改 网 站 目 录 所 有 者 为 非 p h p - f p m 运 行 账 户 ， 此 处 修 改 所 有 者 为 r o o t 。 命 令 ： } l o c a t i o n   ~   / a t t a c h m e n t s / . * . ( p h p | p h p 5 ) ? $   {   d e n y   a l l ;   } l o c a t i o n   ~     / ( a t t a c h m e n t s | u p l o a d ) / . * . ( p h p | p h p 5 ) ? $   {   d e n y   a l l ;   } d e n y   1 0 . 0 . 0 . 0 / 2 4 ; a l l o w     x . x . x . x ;     a l l o w   1 0 . 0 . 0 . 0 / 2 4 ;     d e n y   a l l ; # ! b a s h c h o w n   - R   r o o t : r o o t   h t m l /
2 .   修 改 n g i n x 及 p h p - f p m 的 运 行 账 户 及 组 为 n o b o d y 3 .   取 消 n o b o d y 对 所 有 目 录 的 的 读 取 权 限 ， 然 后 添 加 对 网 站 目 录 的 读 取 权 限 命 令 ： 4 .   取 消 n o b o d y 对 于 / b i n / s h   的 执 行 权 限   5 .   确 认 网 站 目 录 对 于 n o b o d y 的 权 限 为 可 读 可 执 行 ， 对 网 站 文 件 的 权 限 为 可 读 6 .   对 于 上 传 目 录 或 者 写 入 写 文 件 的 目 录 添 加 n o b o d y 的 写 入 权 限   7 .   配 置 n g i n x . c o n f   对 于 上 传 目 录 无 p h p 的 执 行 权 限 8 .   配 置 n g i n x . c o n f 禁 止 访 问 的 文 件 夹 ， 如 后 台 ， 或 者 限 制 访 问 i p 9 .   配 置 n g i n x . c o n f 禁 止 访 问 的 文 件 类 型 ， 如 一 些 t x t 日 志 文 件 渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 什 么 是 快 乐 星 球 ？ 资 料 与 工 具 常 年 分 享 欢 迎 关 注 欢 迎 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦 n g i n x . c o n f P h p - f p m . c o n f # ! b a s h c h m o d   o - r   – R     / c h m o d   o + r   – R   h t m l / c h m o d   7 7 6   / b i n / s h
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理