Nginx反向代理中的HTTP链接攻击与防御

常见HTTP链接攻击类型

1. HTTP请求走私 (HTTP Request Smuggling)

• 攻击原理：利用反向代理和服务器对HTTP请求解析的差异
• 影响：可能导致缓存投毒、会话劫持、绕过安全限制

2. HTTP头注入

• 攻击原理：通过恶意构造的HTTP头进行攻击
• 常见形式：Host头注入、X-Forwarded-For伪造

3. 路径遍历攻击

• 攻击原理：利用../等特殊字符尝试访问受限目录

4. CRLF注入

• 攻击原理：通过注入回车换行符控制响应内容

Nginx防御配置方案

基础安全配置

# 禁用不必要的HTTP方法
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
    return 405;
}

# 隐藏Nginx版本信息
server_tokens off;

# 限制请求大小防止缓冲区溢出
client_body_buffer_size 1k;
client_header_buffer_size 1k;
client_max_body_size 1k;
large_client_header_buffers 2 1k;

防御HTTP请求走私

# 确保只接受完整的请求
http {
    # 拒绝非标准端口请求
    server {
        listen 80 default_server;
        return 444;
    }

    # 主服务器配置
    server {
        listen 80;
        server_name yourdomain.com;

        # 拒绝畸形请求
        if ($http_transfer_encoding ~* "chunked") {
            return 400;
        }

        # 严格解析请求头
        merge_slashes on;
        underscores_in_headers off;
    }
}

防御HTTP头注入

# 验证Host头
server {
    listen 80;
    server_name yourdomain.com;

    if ($host !~* ^(yourdomain.com|www.yourdomain.com)$ ) {
        return 444;
    }
}

# 清理X-Forwarded-For头
map $http_x_forwarded_for $real_ip {
    ~^(\d+\.\d+\.\d+\.\d+) $1;
    default $remote_addr;
}

防御路径遍历攻击

# 阻止路径遍历尝试
location ~* \.(php|asp|aspx|jsp)$ {
    if ($request_uri ~* "\.\./") {
        return 403;
    }
}

# 或更通用的防御
if ($request_uri ~* "(^|/)(\.\.|~)") {
    return 403;
}

防御CRLF注入

# 阻止CRLF注入尝试
if ($http_user_agent ~* (%0D|%0A|%0D%0A)) {
    return 403;
}

if ($http_referer ~* (%0D|%0A|%0D%0A)) {
    return 403;
}

高级防护措施

1. 使用ModSecurity WAF

# 安装ModSecurity后配置
load_module modules/ngx_http_modsecurity_module.so;

http {
    modsecurity on;
    modsecurity_rules_file /etc/nginx/modsec/main.conf;
}

2. 速率限制

# 限制连接频率
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location / {
        limit_req zone=one burst=5;
    }
}

3. 地理IP限制

# 只允许特定国家IP访问
geo $allowed_country {
    default no;
    CN yes;
    US yes;
    JP yes;
}

server {
    if ($allowed_country = no) {
        return 403;
    }
}

监控与日志分析

# 详细日志记录
log_format security '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" '
                   '$request_time $upstream_response_time '
                   '$http_x_forwarded_for';

access_log /var/log/nginx/security.log security;

最佳实践建议

1. 保持Nginx更新：定期升级到最新稳定版本
2. 最小化模块：只加载必要的模块
3. 定期审计配置：检查是否有不必要的开放权限
4. 使用HTTPS：强制所有流量通过加密通道
5. 实施严格的CORS策略：控制跨域请求
6. 定期扫描漏洞：使用工具如Nessus、OpenVAS进行扫描

通过以上配置和措施，可以显著提高Nginx反向代理环境的安全性，有效防御各种HTTP链接攻击。