nginx上web服务的基本安全优化、服务性能优化、访问日志优化、目录资源优化和防盗链配置简介

news2024/10/6 4:11:08

一.基本安全优化

1.隐藏nginx软件版本信息

2.更改源码来隐藏软件名和版本

（1）修改第一个文件（核心头文件），在nginx安装目录下找到这个文件并修改

（2）第二个文件

（3）第三个文件，内置响应信息页面

（4）第四个文件

（5）重新编译安装并重启

3.更改nginx服务的默认用户和组

（1）在编译安装时指定用户和组

（2） 更改nginx.conf，在nobody处指定

二.修改参数优化服务性能

1.优化nginx的worker进程数，并将进程绑定到不同的cpu上

2.优化nginx事件处理模型、最大连接数和进程最大打开文件数

3.开启高效传输模式和上传文件大小的限制

4.配置nginx的gzip压缩

三.优化访问日志

1.运用shell脚本优化nginx的访问日志

2.舍弃不需要的访问日志

3.日志权限设置

四.站点目录和url路径访问优化

1.根据扩展名限制程序和文件访问

2.禁止访问指定目录下的所有文件和目录

（1）拒绝访问static目录和以static开头路径下的文件

（2）禁止访问某个目录并返回状态码

3.禁止非法域名解析（防用户IP）访问网站

（1）返回501

（2）永久重写301

五.nginxweb服务防盗链

1.文件名防盗链

2.图片目录防盗链

 

一.基本安全优化

1.隐藏nginx软件版本信息

一般来讲，同一版本号的设备或软件出现漏洞或问题，那么这一批次就几乎都有被攻击的风险1，通过隐藏版本号等敏感信息，在一定成都上可以增强web服务的安全性

隐藏版本使用的是server_tokens off/on;，一般放在http块内

[root@localhost nginx-1.22.0]# curl -I 192.168.2.190
HTTP/1.1 200 OK
Server: nginx/1.22.0
Date: Sun, 13 Aug 2023 06:36:39 GMT
Content-Type: text/html
Content-Length: 4
Last-Modified: Thu, 10 Aug 2023 03:52:52 GMT
Connection: keep-alive
ETag: "64d45f14-4"
Accept-Ranges: bytes
[root@localhost conf]# vim nginx.conf 
......
http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    keepalive_timeout  65;
    server_tokens off;
......
}
[root@localhost conf]# systemctl restart nginx.service 
[root@localhost nginx-1.22.0]# curl -I 192.168.2.190
HTTP/1.1 200 OK
Server: nginx
Date: Sun, 13 Aug 2023 06:38:00 GMT
Content-Type: text/html
Content-Length: 4
Last-Modified: Thu, 10 Aug 2023 03:52:52 GMT
Connection: keep-alive
ETag: "64d45f14-4"
Accept-Ranges: bytes

2.更改源码来隐藏软件名和版本

[root@localhost ~]# curl -I 192.168.2.190
HTTP/1.1 200 OK
Server: nginx/1.22.0
Date: Mon, 14 Aug 2023 02:47:15 GMT
Content-Type: text/html
Content-Length: 4
Last-Modified: Thu, 10 Aug 2023 03:52:52 GMT
Connection: keep-alive
ETag: "64d45f14-4"
Accept-Ranges: bytes

（1）修改第一个文件（核心头文件），在nginx安装目录下找到这个文件并修改

[root@localhost core]# pwd
/usr/local/src/nginx-1.22.0/src/core
[root@localhost core]# vim nginx.h

更改NGINX_VERSION，NGINX_VER，NGINX_VAR为要伪造的版本号和服务名

0523b5db55334ca6925e3ce0f1fc547d.png

（2）第二个文件

[root@localhost http]# pwd
/usr/local/src/nginx-1.22.0/src/http
[root@localhost http]# vim ngx_http_header_filter_module.c

修改此处

7c3bf502002b476187a3fbea81540c06.png

（3）第三个文件，内置响应信息页面

[root@localhost http]# pwd
/usr/local/src/nginx-1.22.0/src/http
[root@localhost http]# vim ngx_http_special_response.c

 

 修改此处

609de875760e41b5bda76cfeab9cae95.png

（4）第四个文件

[root@localhost v2]# pwd
/usr/local/src/nginx-1.22.0/src/http/v2
[root@localhost v2]# vim ngx_http_v2_filter_module.c

修改此处 

5298c7bed4f042379b2058722815a0d2.png

（5）重新编译安装并重启

[root@localhost nginx-1.22.0]# pwd
/usr/local/src/nginx-1.22.0
[root@localhost nginx-1.22.0]# ./configure --prefix=/etc/nginx --sbin-path=/usr/sbin/nginx --modules-path=/usr/lib64/nginx/modules --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --pid-path=/var/run/nginx.pid --lock-path=/var/run/nginx.lock --http-client-body-temp-path=/var/cache/nginx/client_temp --http-proxy-temp-path=/var/cache/nginx/proxy_temp --http-fastcgi-temp-path=/var/cache/nginx/fastcgi_temp --http-uwsgi-temp-path=/var/cache/nginx/uwsgi_temp --http-scgi-temp-path=/var/cache/nginx/scgi_temp --user=nginx --group=nginx --with-compat --with-file-aio --with-threads --with-http_addition_module --with-http_auth_request_module --with-http_dav_module --with-http_flv_module --with-http_gunzip_module --with-http_gzip_static_module --with-http_mp4_module --with-http_random_index_module --with-http_realip_module --with-http_secure_link_module --with-http_slice_module --with-http_ssl_module --with-http_stub_status_module --with-http_sub_module --with-http_v2_module --with-mail --with-mail_ssl_module --with-stream --with-stream_realip_module --with-stream_ssl_module --with-stream_ssl_preread_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches -m64 -mtune=generic -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -pie'

[root@localhost nginx-1.22.0]# make

[root@localhost nginx-1.22.0]# make install

[root@localhost nginx-1.22.0]# systemctl restart nginx.service

[root@localhost ~]# curl -I 192.168.2.190
HTTP/1.1 200 OK
Server: rpcbind/2.3.30
Date: Mon, 14 Aug 2023 02:47:23 GMT
Content-Type: text/html
Content-Length: 4
Last-Modified: Thu, 10 Aug 2023 03:52:52 GMT
Connection: keep-alive
ETag: "64d45f14-4"
Accept-Ranges: bytes

3.更改nginx服务的默认用户和组

（1）在编译安装时指定用户和组

[root@localhost nginx-1.22.0]# pwd
/usr/local/src/nginx-1.22.0
[root@localhost nginx-1.22.0]# ./configure --user=nginx --group=nginx

（2） 更改nginx.conf，在nobody处指定

#user  nobody;
worker_processes  1;

 

二.修改参数优化服务性能

1.优化nginx的worker进程数，并将进程绑定到不同的cpu上

（1）一般在nginx.conf文件中是“worker_processes 1;”，指定了nginx要开启的进程数，可以设置为cpu的核数，在面对高并发流量的场合可以进一步设置为cpu核数*2

（2）nginx的进程多是运行在某个cpu或某个cpu的核内，在优化这一硬件资源不均的情况时可以将不同的nginx进程绑定到对应的cpu配置，可以在任务管理器的性能中查看cpu核数

例如我的是四核就可以这样来绑定

worker_processes  4;
worker_cpu_affinity 0001 0010 0100 1000;
#worker_cpu_affinity可以把不同的进程分给不同的cpu处理，上面4个二进制数是掩码，代表的是1-4个核，对应上面4个进程数，这个情况下每个进程会分到一个cpu核处理。

2.优化nginx事件处理模型、最大连接数和进程最大打开文件数

在Linux上使用epoll的I/O多路服用模型，最大连接数要根据具体的服务器性能和程序内存来指定，一般都放在events块内。最大文件打开数可以查询，一般和进程数放一起。

worker_processes  4;
worker_cpu_affinity 0001 0010 0100 1000;
worker_rlimit_nofile 65535;
#可以设置为这个“ulimit -HSn”命令得出来的结果
events {
    use epoll;
    #事件模块指令，放在events中指定nginx的工作模式，select-标准工作模式，poll-标准工作模式，kqueue-BDS系统高效工作模式，epoll-Linux平台首选高效工作模式，rtsig，/dev/poll
    worker_connections  1024;
    #事件模块指令，定义每个进程的最大连接数，默认1024，max_client客户端连接数=worker_processes*worker_connections，max_clients=worker_processes*worker_connections/4，当然这些设置也受文件系统打开数量限制，执行名“ulimit -n 数量”后生效
}

3.开启高效传输模式和上传文件大小的限制

sendfile可以开启文件的高效传输模式，如果将tcp_nopush和tcp_nodelay都设置为on，可以有效防止网络和磁盘的I/O阻塞，提升效率，可以通过client_max_body_size指定最大上传文件大小，一般都放在http块中

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    tcp_nopush      on;
    tcp_nodelay     on;
    client_max_body_size 20M;
......
}

4.配置nginx的gzip压缩

http {
    include       mime.types;
    default_type  application/octet-stream;
    sendfile        on;
    tcp_nopush      on;
    tcp_nodelay     on;
    keepalive_timeout  65;
    gzip  on;
    #开启压缩
    gzip_min_length 1k;
    #设置压缩页面的最小字节，建议设置为1K以上，小于1K会压缩变大
    gzip_buffers 4 16k;
    #压缩缓冲区大小，上面的表示是需要4个16k的内存作为压缩结果流缓存
    gzip_http_version 1.1;
    #压缩版本，用于识别http协议版本，默认1.1
    gzip_comp_level 2;
    #压缩比率，指定gzip压缩比，1的压缩比最小处理速度最快，9的压缩比最大传输速度快但处理速度最慢，较为消耗CPU资源
    gzip_types text/plain application/x-javascript text/css application/xml;
    #指定压缩类型
    gzip_vary on;
    #开启vary header，可以让前端的缓存服务器的缓存经过gzip压缩页面
......
}

三.优化访问日志

1.运用shell脚本优化nginx的访问日志

主要功能是将日志以一定的时间格式保存并重载配置，在测试完脚本运行无误后，可以配合定时任务使得保持访问日志的整洁，并且每天生成一个新的日志文件以进行记录

[root@localhost nginx-1.22.0]# whereis nginx
nginx: /usr/sbin/nginx.old /usr/sbin/nginx /etc/nginx
[root@localhost conf]# vim nginx_access_log_mg.sh
#!/bin/bash
cd /usr/local/src/nginx-1.22.0/logs &&\
/bin/mv access.log access_$(date +%F).log
/usr/sbin/nginx -s reload
[root@localhost conf]# bash nginx_access_log_mg.sh
[root@localhost logs]# ll
total 8
-rw-r--r-- 1 root root 1680 Aug 14 13:32 access_2023-08-14.log
-rw-r--r-- 1 root root    0 Aug 14 13:54 access.log
-rw-r--r-- 1 root root 1108 Aug 14 13:32 error.log

2.舍弃不需要的访问日志

舍弃掉一些图片资源的访问记录，以免消耗大量磁盘资源

server {
                listen 192.168.2.190;
                server_name www.aabb.com;
                location / {
                        root /usr/local/src/nginx-1.22.0/html/ip;
                        index index.html index.htm;
                }
                location ~ .*\.(jpg|JPG|jpeg|JPEG|gif|GIF)$ {
                        access_log off;
                }
        }

3.日志权限设置

建议递归设置为700

[root@localhost nginx-1.22.0]# chmod -R 700 logs/
[root@localhost nginx-1.22.0]# pwd
/usr/local/src/nginx-1.22.0

四.站点目录和url路径访问优化

1.根据扩展名限制程序和文件访问

禁止访问images开头并php/php5/sh/pl/py结尾，static开头并以php/php5/sh/pl/py结尾，/data/attachment或/data/avatar开头以php/php5结尾的文件类型的内容

server {
                listen 192.168.2.190;
                server_name www.aabb.com;
                location / {
                        root /usr/local/src/nginx-1.22.0/html/ip;
                        index index.html index.htm;
                }
                location ~ .*\.(jpg|JPG|jpeg|JPEG|gif|GIF)$ {
                        access_log off;
                }
                location ~ ^/images/.*\.(php|php5|sh|pl|py)$ {
                        deny all ;
                }
                location ~ ^/static/.*\.(php|php5|sh|pl|py)$ {
                        deny all;
                }
                location ~* ^/data/(attachment|avatar)/.*\.(php|php5)$ {
                        deny all；
                }
                location ~ .*\.(php|php5)?$ {
                        fastcgi_pass 127.0.0.1:9000;
                        fastcgi_index index.php;
                        include fcgi.conf;
                }
}

2.禁止访问指定目录下的所有文件和目录

（1）拒绝访问static目录和以static开头路径下的文件

location ~ ^/(static)/ {
        deny all;
}
location ~ ^/static {
        deny all;
}

（2）禁止访问某个目录并返回状态码

location /xxx/ {
        return 404; 
}
location /xxx/ { 
        return 403;    
}

3.禁止非法域名解析（防用户IP）访问网站

（1）返回501

server {
        listen 80 default_server;
        server_name _；
        return 501;
}

（2）永久重写301

server {
        listen 80 default_server;
        server_name _；
        rewrite ^(.*) http://xxx/$1 permanent;
}

#恶意域名解析IP
server {
        if ($host !~ ^www/xxx/.com$){
        rewrite ^(.*) http//www.xxx.com$l permanent;
}

五.nginxweb服务防盗链

1.文件名防盗链

location ~* \.(gif|jpg|png|swf|flv)$ { 
        valid_referers none blocked xxx.com ; 
        #valid_referers可以设置允许访问资源的引用者列表，none表示不允许任何引用这直接访问，blocked表示拒绝所有引用者，允许xxx.com域名下的引用者访问资源
        if ($invalid_referer) {
        rewrite ^/ http://xxx.com/retrun.html;
        #如果引用者不在允许列表中，请求将会被重写到http://xxx.com/retrun.html，引用者在允许列表中则返回请求的资源，如上配置，xxx.com域名下的引用者可以获取资源
        #return 404;
        }
}

2.图片目录防盗链

location /images/ {  #匹配/images、开头的请求
            valid_referers none blocked server_names xxx;
            #none,blocked含义同文件名防盗链，server_names后加上允许的域名列表
            if ($invalid_referer) {  #如上配置，引用者不在允许域名列表中则403拒绝访问，在列表中则则返回其请求的资源
            return 403;
            }
}

 

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/878585.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

算法通过村第三关-数组青铜笔记|单调数组

算法通过村第三关-数组青铜笔记|单调数组

文章目录 前言单调数组问题搜索插入位置：数组合并问题：总结 前言 提示：本份真诚面对自己、坦然无碍面对他人，就是优雅。 数组中的比较经典性问题: 单调数组问题数组合并问题 单调数组问题 参考例子：896. 单调数列…
阅读更多...
【BEV Review】论文 Delving into the Devils of Bird’s-eye-view 2022-9 笔记

【BEV Review】论文 Delving into the Devils of Bird’s-eye-view 2022-9 笔记

背景 一般来说，自动驾驶车辆的视觉传感器（比如摄像头）安装在车身上方或者车内后视镜上。无论哪个位置，摄像头所得到的都是真实世界在透视视图（Perspective View）下的投影（世界坐标系到图像坐标系…
阅读更多...
Docker数据卷容器

Docker数据卷容器

1.数据卷容器介绍 即使数据卷容器c3挂掉也不会影响c1和c2通信。 2.配置数据卷容器 创建启动c3数据卷容器，使用-v参数设置数据卷。volume为目录，这种方式数据卷目录就不用写了，直接写宿主机目录。 创建c1、c2容器，使用–volum…
阅读更多...
MapStruct 中 Java Bean 映射代码生成器的基本使用

MapStruct 中 Java Bean 映射代码生成器的基本使用

文章目录 一、简介：二、背景：三、相关概念：1、映射器（Mapper）：2、映射方法（Mapping Method）：3、常规映射方法（Regular Mapping Method）&#xff1…
阅读更多...
多功能杆在智慧农业中的应用

多功能杆在智慧农业中的应用

随着农业现代化发展，农业生产和管理不断运用越来越多新技术、新设施，以提高农业生产的综合效率、产品质量，降低管理经营成本。诸如数字化监测、物联网管理、5G远程控制，以及本次我们为大家介绍的多功能智慧杆系统。 多功能智慧杆拥…
阅读更多...
股权激励一发布，股价飙升买别墅？

股权激励一发布，股价飙升买别墅？

主要内容： 1.股权激励计划的含义 2.股权激励的公告数据 3.公告日到授予日股价变化 4.构建股权激励策略 5.策略运行结果 当谈到现代科技领域的先锋人物，马斯克无疑是其中的佼佼者，他人生经历可谓尽是高光时刻。 1981年10岁的马斯克用攒到…
阅读更多...
每日温度（力扣）单调栈 JAVA

每日温度（力扣）单调栈 JAVA

给定一个整数数组 temperatures ，表示每天的温度，返回一个数组 answer ，其中 answer[i] 是指对于第 i 天，下一个更高温度出现在几天后。如果气温在这之后都不会升高，请在该位置用 0 来代替。 示例 1: 输入: temperatur…
阅读更多...
使用VMware安装ubuntu和VMware tool

使用VMware安装ubuntu和VMware tool

一、准备工作 提前准备好vmware的安装包还有Ubuntu的系统镜像 安装包已经放到网盘，链接在这篇文章中：https://blog.csdn.net/u014151564/article/details/132267441 二、使用步骤 1、打开虚拟机来到主页 在左侧右键选择新建虚拟机 2、向导步骤如图…
阅读更多...
变压器故障诊断（python代码，逻辑回归/SVM/KNN三种方法同时使用，有详细中文注释）

变压器故障诊断（python代码，逻辑回归/SVM/KNN三种方法同时使用，有详细中文注释）

代码运行要求：tensorflow版本>2.4.0,Python>3.6.0即可，无需修改数据路径。 1.数据集介绍： 采集数据的设备照片 变压器在电力系统中扮演着非常重要的角色。尽管它们是电网中最可靠的部件，但由于内部或外部的许多因素&#…
阅读更多...
预告|8月16日-18日，相约DTCC 2023！星瑞格邀您共飨数据库技术盛宴

预告|8月16日-18日，相约DTCC 2023！星瑞格邀您共飨数据库技术盛宴

相约DTCC 2023，共飨数据库技术盛宴！ 2023年8月16-18日，第十四届中国数据库技术大会（DTCC 2023）将于北京国际会议中心隆重召开。福建星瑞格软件有限公司（以下简称星瑞格）受邀参加本届DTCC中国数…
阅读更多...
污水处理厂人员定位方案介绍

污水处理厂人员定位方案介绍

污水处理厂人员定位在现代化的污水处理厂中具有重要的意义，它可以带来多方面的优势和好处： 安全管理： 污水处理厂通常涉及到各种危险环境和设备，如化学品、高压设备等。人员定位系统可以追踪人员的位置，确保他们不会进…
阅读更多...
基于C#UI Automation自动化测试

基于C#UI Automation自动化测试

步骤 UI Automation 只适用于，标准的win32和 WPF程序 需要添加对UIAutomationClient、 UIAutomationProvider、 UIAutomationTypes的引用 代码 using System; using System.Collections.Generic; using System.ComponentModel; using System.Data; using System.D…
阅读更多...
arcgis数据采集与拓扑检查

arcgis数据采集与拓扑检查

1、已准备好一张配准好的浙江省行政区划图，如下： 2、现在需要绘制湖州市县级行政区划。需要右击文件夹新建文件地理数据库，如下： 其余步骤均默认即可。 创建好县级要素数据集后，再新建要素类，命名为县。 为…
阅读更多...
Axure中文环境配置教程,让原型设计和乱码说再见！

Axure中文环境配置教程,让原型设计和乱码说再见！

很多产品新人刚接触原型设计时,首选的工具通常都是Axure。我们可以在官网或者其他途径下载Axure的安装包,但安装完成后会发现,这个原型工具只提供30天的试用期。如果想继续使用,就需要输入账号和密钥进行正式授权。当安装授权工作完成后,还需要进行一项重要的设置,那就是对Axur…
阅读更多...
Airbnb开源数据可视化工具Visx

Airbnb开源数据可视化工具Visx

一、什么是visx visx 是用于 React 的富有表现力的底层可视化组件集合，结合了 d3 的强大功能来生成可视化，以及 React 更新 DOM 的诸多优势。 在 Airbnb 内部，visx 的目标是统一整个公司的可视化堆栈，在此过程中，创建了 visx 项目，从而有效的将 D3 的强大功能与 React …
阅读更多...
Server - 文字转语音 (Text to Speech) 的在线服务 TTSMaker

Server - 文字转语音 (Text to Speech) 的在线服务 TTSMaker

欢迎关注我的CSDN：https://spike.blog.csdn.net/ 本文地址：https://spike.blog.csdn.net/article/details/132287193 TTSMaker 是一款免费的文本转语音工具，提供语音合成服务，支持多种语言，包括英语、法语、德语、西班…
阅读更多...
七、Everything_本地文件搜索神器

七、Everything_本地文件搜索神器

1、Everything简介 "Everything"是Windows上一款搜索引擎，它能够基于文件名快速定文件和文件夹位置。不像 Windows 内置搜索，"Everything" 默认显示电脑上每个文件和文件夹 (就如其名 "Everything")。在搜索框输入的关键词…
阅读更多...
[国产MCU]-BL602开发实例-LCD1602 I2C驱动

[国产MCU]-BL602开发实例-LCD1602 I2C驱动

LCD1602 I2C驱动 文章目录 LCD1602 I2C驱动1、LCD1602/LCD2004介绍2、硬件准备3、驱动实现本文将详细介绍如何在K210中驱动LCD1602/LCD2004 I2C显示屏。 1、LCD1602/LCD2004介绍 LCD1602液晶显示器是广泛使用的一种字符型液晶显示模块。它是由字符型液晶显示屏（LCD）、控制驱…
阅读更多...
Install And Understand APISIX(Master the knowledge of APISIX)

Install And Understand APISIX(Master the knowledge of APISIX)

Master the knowledge of APISIX Install And Understand APISIX 环境准备 接口服务：gpt 接口服务（使用 spring boot 编写的 Chat GPT 接口服务） 调用接口示例： 虚拟机软件：VMware Workstation Pro 17 Linux 镜像&…
阅读更多...
8.14 作业 ARM

8.14 作业 ARM

.text .globl _gcd_gcd:mov r0,#9mov r1,#15cmp r0,r1 比较r0和r1寄存器中的值beq stopsubhi r0,r0,r1subcc r1,r1,r0stop:b stop .end用for循环实现1~100之间和： .text .globl _start_start:mov r0,#0 总和mov r1,#1 从1开始mov r2,#100 到100结束bl add_loopa…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023