'nginx網站漏洞該如何修復 加強服務器的安全防護'

服務器的安全防護中，網站環境的搭建與安全部署也是很重要的一部分，目前大多數的服務器都使用的是nginx來搭建網站的運行環境，包括windows服務器，linux服務器都在使用，nginx的安全設置對於服務器安全起到很重要的作用。關於如何設置nginx安全，以及服務器的安全部署，我們來詳細的給大家介紹一下:

大部分的網站使用nginx來做負載均衡以及前端的80端口代碼來進行靜態html文件的訪問，nginx的安全設置如果沒有設置好會導致服務器安全出現問題，可能會導致服務器被入侵，以及網站被攻擊。

nginx 在linux centos系統裡，使用的是nginx.conf的格式文件來作為網站的配置文件，裡面的配置主要是綁定域名，以及端口，指定到網站的目錄地址，偽靜態規則，看下圖：

從上圖的配置文件中，我們可以看出，nginx的內部結構很清晰，每一行代碼都寫的很精簡，針對的功能也是唯一的，每個代碼對應的指令以及作用劃分的很仔細，其中server就是我們IIS配置的host地址，比如域名以及IP地址，在server的代碼裡寫入端口，可以將網站設置成端口形式的訪問。現在我們大體的瞭解了什麼nginx，那麼nginx設置不全面，會導致那些漏洞呢？

最常見的就是網站目錄可以被任意的查看，也就是網站目錄遍歷漏洞，這個簡單來說就是如果服務器裡有很多網站，隨便一個網站被攻擊，都會導致服務器裡的全部網站被攻擊，因為可以跨目錄的查看任意網站的程序代碼。通常導致該漏洞的原因是在配置nginx的時候，有些服務器運維人員會將autoindex on;代碼寫入到server行裡，導致發生目錄遍歷漏洞。如下圖就是目錄可以被任意的瀏覽，包括網站裡包含了那些代碼，都看的一清二楚。

nginx設置導致的URL注入漏洞，服務器裡的網站在使用SSL證書，啟用443端口訪問網站，nginx會自動代理，並加載SSL證書，有些會設置nginx強制的跳轉到https網站，使用302的協議進行強制跳轉，如果技術人員設置成return 302 https://$host$uri，會導致網站存在SQL注入漏洞，$uri變量值的含義是：請求文件以及網站的路徑，當nginx環境進行傳遞參數值的時候，可以插入惡意代碼到網站中執行，並提交到數據庫後端進行sql查詢，注入漏洞就因此而發生，建議服務器的運維人員不要對此進行設置。

關於nginx的安全設置方面，服務器的維護人員儘量嚴格的進行設置，對目錄的瀏覽權限詳細的分配，對https協議訪問的網站也要加強302的強制跳轉參數設置，如果您對服務器安全防護方面不是太懂的話，也可以找專業的安全公司處理。