目录

  • 适用情况
  • 技能要求
  • 前置条件
  • 日志配置
  • 备份nginx.conf 配置文件。
  • 在server标签内，定义日志路径
  • 保存，然后后重启nginx服务。
  • 禁止目录浏览
  • 备份nginx.conf配置文件。
  • 编辑配置文件，HTTP模块添加如下一行内容：
  • 保存，然后后重启nginx服务。
  • 限制目录执行权限
  • 备份nginx.conf配置文件。
  • 编辑配置文件，在server标签内添加如下内容：
  • 保存，然后后重启nginx服务。
  • 需要注意两点：
  • 错误页面重定向
  • 备份nginx.conf配置文件。
  • 修改配置，在http{}段加入如下内容
  • 保存，重启 nginx 服务生效
  • 最佳经验实践
  • 隐藏版本信息a
  • 备份nginx.conf配置文件。
  • 编辑配置文件，添加http模块中如下一行内容：
  • 保存，然后后重启nginx服务。
  • 限制HTTP请求方法
  • 备份nginx.conf配置文件。
  • 编辑配置文件，添加如下内容：
  • 保存，然后后重启nginx服务。
  • 限制IP访问
  • 备份nginx.conf配置文件。
  • 编辑配置文件，在server标签内添加如下内容：
  • 保存，然后后重启nginx服务。
  • 限制并发和速度
  • 备份nginx.conf配置文件。
  • 编辑配置文件，在server标签内添加如下内容：
  • 保存，然后后重启nginx服务。
  • 控制超时时间
  • 备份nginx.conf配置文件。
  • 编辑配置文件，具体设置如下：
  • 保存，然后后重启nginx服务。
  • 风险操作项
  • Nginx降权
  • 备份nginx.conf配置文件。
  • 编辑配置文件，添加如下一行内容：
  • 保存，然后后重启nginx服务。
  • 防盗链
  • 备份nginx.conf配置文件。
  • 编辑配置文件，在server标签内添加如下内容：
  • 保存，然后后重启nginx服务。
  • 补丁更新
  • 软件信息
  • 补丁安装


适用情况

适用于使用Nginx进行部署的Web网站。

技能要求

熟悉Nginx配置，能够Nginx进行部署，并能针对站点使用Nginx进行安全加固。

前置条件

1、 根据站点开放端口，进程ID，确认站点采用Nginx进行部署；
2、 找到Nginx安装目录，针对具体站点对配置文件进行修改；
3、 在执行过程中若有任何疑问或建议，应及时反馈。
详细操作

以下为详细操作：

日志配置

备份nginx.conf 配置文件。

修改配置，按如下设置日志记录文件、记录内容、记录格式，添加标签为main的log_format格式

1.(http标签内，在所有的server标签内可以调用)：
 2.log_format main ' $ remote_addr - remote_user [remote 
    user[time_local] " $ request" ' 
 3.'$ status $ body_bytes_sent "“$ http_referer"' 
 4."$ http_user_agent" "$http_x_forwarded_for"';

nginx 加密套件 rsa_pkcs1_sha1_配置文件

在server标签内，定义日志路径

access_log logs/host.access.log main

保存，然后后重启nginx服务。

禁止目录浏览

备份nginx.conf配置文件。
编辑配置文件，HTTP模块添加如下一行内容：

autoindex off;

保存，然后后重启nginx服务。

限制目录执行权限

备份nginx.conf配置文件。
编辑配置文件，在server标签内添加如下内容：

#示例：去掉单个目录的PHP执行权限
location ~ /attachments/…(php|php5)?$ {
deny all;
}
i#示例：去掉多个目录的PHP执行权限
location ~
/(attachments|upload)/…(php|php5)?$ {
deny all;
}

nginx 加密套件 rsa_pkcs1_sha1_配置文件_02

保存，然后后重启nginx服务。
需要注意两点：

1、以上的配置文件代码需要放到 location ~ .php{…}上面，如果放到下面是无效的;
2、attachments需要写相对路径，不能写绝对路径。

错误页面重定向

备份nginx.conf配置文件。
修改配置，在http{}段加入如下内容
http {
 …
 fastcgi_intercept_errors on;
 error_page 401 /401.html;
 error_page 402 /402.html;
 error_page 403 /403.html;
 error_page 404 /404.html;
 error_page 405 /405.html;
 error_page 500 /500.html;
 …
 }


修改内容：

ErrorDocument 400 /custom400.html
 ErrorDocument 401 /custom401.html
 ErrorDocument 403 /custom403.html
 ErrorDocument 404 /custom404.html
 ErrorDocument 405 /custom405.html
 ErrorDocument 500 /custom500.html


其中401.html、402.html、403.html、404.html、405.html、500.html 为要指定的错误提示页面。

nginx 加密套件 rsa_pkcs1_sha1_配置文件_03

保存，重启 nginx 服务生效

最佳经验实践

隐藏版本信息a

备份nginx.conf配置文件。
编辑配置文件，添加http模块中如下一行内容：
server_tokens off;
保存，然后后重启nginx服务。

限制HTTP请求方法

备份nginx.conf配置文件。
编辑配置文件，添加如下内容：
if (request_method! ~(GET∣HEAD∣POST)$ ) {
 return 444;
 }
保存，然后后重启nginx服务。

nginx 加密套件 rsa_pkcs1_sha1_nginx_04


备注：只允许常用的GET和POST方法，顶多再加一个HEAD方法

限制IP访问

备份nginx.conf配置文件。
编辑配置文件，在server标签内添加如下内容：
location / {
 deny 192.168.1.1; #拒绝IP
 allow 192.168.1.0/24; #允许IP
 allow 10.1.1.0/16; #允许IP
 deny all; #拒绝其他所有IP
 }
保存，然后后重启nginx服务。

限制并发和速度

备份nginx.conf配置文件。
编辑配置文件，在server标签内添加如下内容：
limit_zone one $binary_remote_addr 10m;
 server
 {
 listen 80;
 server_name ;
 index index.html index.htm index.php;
 root /usr/local/www;
 #Zone limit;
 location / {
 limit_conn one 1;
 limit_rate 20k;
 }
 ………
 }

nginx 加密套件 rsa_pkcs1_sha1_nginx_05

保存，然后后重启nginx服务。

控制超时时间

备份nginx.conf配置文件。
编辑配置文件，具体设置如下：
  • client_body_timeout 10; #设置客户端请求主体读取超时时间
  • client_header_timeout 10; #设置客户端请求头读取超时时间
  • keepalive_timeout 5 5; #第一个参数指定客户端连接保持活动的超时时间，第二个参数是可选的，它指定了消息头保持活动的有效时间
  • send_timeout10; #指定响应客户端的超时时间
保存，然后后重启nginx服务。

风险操作项

Nginx降权

备份nginx.conf配置文件。
编辑配置文件，添加如下一行内容：
user nobody;
保存，然后后重启nginx服务。

防盗链

备份nginx.conf配置文件。
编辑配置文件，在server标签内添加如下内容：
location ~* ^.+.(gif|jpg|png|swf|flv|rar|zip)$ {
 valid_referers none blocked server_names *.nsfocus.com http://localhost baidu.com;
 if ($invalid_referer) {
 rewrite ^/ [img]http:///images/default/logo.gif[/img];
 #return 403;
 }
 }

nginx 加密套件 rsa_pkcs1_sha1_配置文件_06

保存，然后后重启nginx服务。

补丁更新

软件信息

查看软件版本 nginx -v
测试配置文件 nginx –t

补丁安装

手动安装补丁或安装最新版本软件