Nginx 常见安全攻击原理与防御配置详解

4. 网络钓鱼攻击

黑客可以使用 Nginx 伪装成一个合法的网站，诱骗用户输入敏感信息。例如，构造一个伪造的登录页面，让用户输入用户名和密码，然后将这些信息发送给黑客服务器。

这通常是静态托管 + 反向代理功能的组合误用。

server {
    listen       80;
    server_name  example.com;

    # 静态网站托管
    location / {
        root   /var/www/mywebsite/dist;
        index  index.html index.htm;
    }

    # API 代理转发
    location /api {
        proxy_pass  http://localhost:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

• 访问根目录就访问到静态的网站资源。
• 访问 /api 路由转发到 api 服务上。

三、防御策略与配置优化

1. 限流与黑名单防御

这是防御 DDoS 和 CC 攻击的基础手段。

http {
    # 定义限流区域，基于二进制远程地址，大小 10MB，速率每秒 5 个请求
    limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s;
    
    # 定义 IP 黑名单变量
    geo $block {
        default 0;
        include /path/to/block_ip.txt;
    }

    server {
        listen 80;

        location / {
            # 应用限流规则，突发 10 个请求，不延迟
            limit_req zone=one burst=10 nodelay;
            
            # 检查黑名单
            if ($block) {
                return 403;
            }
            
            proxy_pass http://backend;
        }
    }
}

• limit_req_zone 定义了限流区域，需根据业务实际 QPS 调整 rate。
• limit_req 指定使用限制规则，burst 允许短时间突发流量，nodelay 表示立即处理超出部分的请求（否则排队）。对于高防场景，建议去掉 nodelay 或直接丢弃。
• geo $block 是黑名单模块，文件可包含需要屏蔽的 IP 列表。

2. 连接数限制

防止单个 IP 占用过多连接资源。

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            limit_conn addr 10; # 限制每个 IP 同时连接数为 10
            proxy_pass http://backend;
        }
    }
}

3. 负载均衡防御

假设我有两个后端服务器，通过负载均衡分散压力。

http {
    upstream backend {
        # 轮询方式的负载均衡
        server backend1.example.com;
        server backend2.example.com;
    }
    ...
    server {
        ...
    }
}

负载均衡算法

• 轮询（Round Robin）：默认方式，按顺序分配。
• IP 哈希（ip_hash）：保证相同来源访问相同的服务器，适用于有状态会话。但在请求量少时分布不均。
• 加权轮询（Weight）：根据服务器性能分配权重。
• 最少连接（least_conn）：将请求发给当前连接数最少的服务器。
• 随机（random）：随机分配。
• 一致性哈希（hash）：基于客户端 IP 计算哈希值，使请求平均分配到不同服务器，同时保证同一 IP 落到同一服务器，且分布较均衡。

建议：生产环境推荐使用 least_conn 或 hash 结合健康检查，避免单点过载。

4. SSL/TLS 安全加固

确保传输层安全，防止中间人攻击。

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate     /etc/nginx/ssl/cert.pem;
    ssl_certificate_key /etc/nginx/ssl/key.pem;
    
    # 禁用不安全协议
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    
    # 隐藏版本号
    server_tokens off;
}

5. 客户端请求限制

防止大文件上传或超长请求头导致资源耗尽。

http {
    client_max_body_size 10M;      # 限制上传文件大小
    client_header_buffer_size 1k;  # 限制请求头大小
    large_client_header_buffers 4 8k; # 限制大请求头缓冲区
    keepalive_timeout 65;          # 长连接超时时间
}

6. 日志分析与监控

开启详细日志以辅助安全审计。

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for"';

access_log /var/log/nginx/access.log main;
error_log /var/log/nginx/error.log warn;

定期分析日志，识别异常 IP、高频访问路径和错误率突增情况。

四、总结

真正有不良居心的人，总是会有更复杂的攻击方法。这些攻击行为都是违法的，建议大家学会以后用于合法的安全测试和防御建设。

本文的核心目的是教大家学会 Nginx 的常用配置方法和安全加固思路。在实际生产环境中，应结合 WAF（Web 应用防火墙）、CDN 清洗服务等综合手段构建纵深防御体系。务必遵守法律法规，切勿利用所学知识从事非法活动。