pentest 渗透测试 nginx配置_pen test fix

本文链接：https://blog.csdn.net/yanwanwan/article/details/122069812

本文介绍了如何通过配置Nginx来加强Web应用的安全性，包括隐藏版本信息、设置X-Frame-Options防止点击劫持、启用X-XSS-Protection防范跨站脚本攻击、使用X-Content-Type-Options避免MIME类型混淆等。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1. nginx 错误页面隐藏版本号

场景：部分系统服务器端返回的HTTP头中，泄露了服务器采用的中间件信息（类型，版本）nginx，apache，攻击者可以缩小攻击范围，针对中间件存在的漏洞发起攻击

修改：ngixn/bin/nginx.conf中在http或者server中添加如下配置

server_tokens off;

2. X-Frame-Options

　　这个header主要用来配置哪些网站可以通过frame来加载资源。它主要是用来防止UI redressing 补偿样式攻击。IE8和firefox 18以后的版本都开始支持ALLOW-FROM。chrome和safari都不支持ALLOW-FROM，但是WebKit已经在研究这个了。

X-Frame-Options 响应头有三个可选的值：

DENY：页面不能被嵌入到任何iframe或frame中；

SAMEORIGIN：页面只能被本站页面嵌入到iframe或者frame中；

ALLOW-FROM：页面允许frame或frame加载。

// 正确的设置

DENY – 禁止所有的资源（本地或远程）试图通过frame来加载其他也支持X-Frame-Options 的资源。
SAMEORIGIN – 只允许遵守同源策略的资源（和站点同源）通过frame加载那些受保护的资源。
ALLOW-FROM http://www.example.com – 允许指定的资源（必须带上协议http或者https）通过frame来加载受保护的资源。这个配置只在IE和firefox下面有效。其他浏览器则默认允许任何源的资源（在X-Frame-Options没设置的情况下）。

// 通常不正确的设置
ALLOW FROM http://example.com – ALLOW和FROM 之间只能通过连字符来连接，空格是错误的。
ALLOW-FROM example.com – ALLOW-FROM选项后面必须跟上一个URI而且要有明确的协议（http或者https)

3. X-XSS-Protection

　　顾名思义，这个响应头是用来防范XSS的。最早我是在介绍IE8的文章里看到这个，现在主流浏览器都支持，并且默认都开启了XSS保护，用这个header可以关闭它。它有几种配置：

　　0：禁用XSS保护；

　　1：启用XSS保护；

　　1; mode=block：启用XSS保护，并在检查到XSS攻击时，停止渲染页面（例如IE8中，检查到攻击时，整个页面会被一个#替换）；

// nginx配置设置
... ...
server {
... ...
add_header X-XSS-Protection 1;
... ...

HTML前端解决方法：

// 正确的设置
0 – 关闭对浏览器的xss防护
1 – 开启xss防护
1; mode=block – 开启xss防护并通知浏览器阻止而不是过滤用户注入的脚本。
1; report=http://site.com/report – 这个只有chrome和webkit内核的浏览器支持，这种模式告诉浏览器当发现疑似xss攻击的时候就将这部分数据post到指定地址。

// 通常不正确的设置
0; mode=block; – 记住当配置为0的时候，即使加了mode=block选项也是没有效果的。需要指出的是，chrome在发现这种错误的配置后还是会开启xss防护。
1 mode=block; – 数字和选项之间必须是用分号分割，逗号和空格都是错误的。但是这种错误配置情况下，IE和chrome还是默认会清洗xss攻击，但是不会阻拦。

4.X-Content-Type-Options

互联网上的资源有各种类型，通常浏览器会根据响应头的Content-Type字段来分辨它们的类型。例如："text/html"代表html文档，"image/png"是PNG图片，"text/css"是CSS样式文档。然而，有些资源的Content-Type是错的或者未定义。这时，某些浏览器会启用MIME-sniffing来猜测该资源的类型，解析内容并执行。

　　例如，我们即使给一个html文档指定Content-Type为"text/plain"，在IE8-中这个文档依然会被当做html来解析。利用浏览器的这个特性，攻击者甚至可以让原本应该解析为图片的请求被解析为JavaScript。

　　这个header主要用来防止在IE9、chrome和safari中的MIME类型混淆攻击。firefox目前对此还存在争议。通常浏览器可以通过嗅探内容本身的方法来决定它是什么类型，而不是看响应中的content-type值。通过设置 X-Content-Type-Options：如果content-type和期望的类型匹配，则不需要嗅探，只能从外部加载确定类型的资源。举个例子，如果加载了一个样式表，那么资源的MIME类型只能是text/css。

// 正确的设置
nosniff – 这个是唯一正确的设置，必须这样。  

// 通常不正确的设置
‘nosniff’ – 引号是不允许的  
: nosniff – 冒号也是错误的

5.如何避免

打开nginx.conf，文件位置一般在安装目录 /usr/local/nginx/conf 里。

　　然后在http配置代码块里某一行添加如下语句即可

add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options "nosniff";

6. Access-Control-Allow-Origin

　　Access-Control-Allow-Origin是从Cross Origin Resource Sharing (CORS)中分离出来的。这个header是决定哪些网站可以访问资源，通过定义一个通配符来决定是单一的网站还是所有网站可以访问我们的资源。需要注意的是，如果定义了通配符，那么 Access-Control-Allow-Credentials选项就无效了，而且user-agent的cookies不会在请求里发送。

// 正确的设置
* – 通配符允许任何远程资源来访问含有Access-Control-Allow-Origin 的内容。  
http://www.example.com – 只允许特定站点才能访问(http://[host], 或者 https://[host]) 

// 通常不正确的设置
http://example.com, http://web2.example.com – 多个站点是不支持的，只能配置一个站点。  
*.example.com – 只允许单一的站点  
http://*.example.com – 同上面一样