Nginx漏洞利用与安全加固方法WEB安全电脑资料.docVIP

Nginx漏洞利用与安全加固方法WEB安全电脑资料 本文主要分为两大部分，第一部分介绍了Nginx的一些常见安全漏洞的形成原因、利用方法，并给出了相应的解决办法;第二部分介绍了Nginx安全加固时需要关注的主要内容， Nginx(发音同engine x)是一款轻量级的Web服务器/反向代理服务器及电子邮件(IMAP/POP3)代理服务器，由俄罗斯的程序设计师Igor Sysoev所开发，可以稳定地运行在Linux、Windows等操作系统上，其特点是占用内存少，并发能力强。 同其他软件一样，Nginx也出现过一些安全漏洞，利用这些漏洞可以对Web服务器进行渗透攻击。 下面我们通过实例来介绍几个关于Nginx的安全漏洞，以及相应的漏洞利用方法。 Nginx漏洞分析实例 Nginx文件类型错误解析漏洞 在xx年的时候，国内安全组织80Sec发现了一个Nginx文件类型解析漏洞，但实际上这个并非Nginx本身的漏洞，而是由于配置导致的安全问题。下面我们详细分析一下这个漏洞。 漏洞分析：Nginx默认是以CGI的方式支持PHP解析的，普遍的做法是在Nginx配置文件中通过正则匹配设置SCRIPT_FILENAME。配置文件中会有类似如下内容，如图1所示。