利用Nginx日志防止恶意攻击

Nginx日志是识别和防范恶意攻击的重要资源。以下是利用Nginx日志增强安全性的方法：

1. 日志配置优化

首先确保Nginx日志记录足够的信息：

http {
    log_format security '$remote_addr - $remote_user [$time_local] '
                       '"$request" $status $body_bytes_sent '
                       '"$http_referer" "$http_user_agent" '
                       '$request_time $upstream_response_time '
                       '$http_x_forwarded_for';

    access_log /var/log/nginx/security.log security;
}

2. 常见攻击模式识别

2.1 暴力破解攻击

• 检查短时间内大量401/403状态码
• 同一IP对登录页面的高频请求

2.2 SQL注入/XSS攻击

• 检查URL和POST数据中的可疑字符(', ", <script>, UNION SELECT等)
• 异常的User-Agent字符串

2.3 DDoS攻击

• 异常高的请求频率
• 大量来自同一IP或IP段的请求

2.4 目录遍历攻击

• 包含../或敏感路径的请求

3. 日志分析工具

3.1 使用AWK进行简单分析

# 统计IP访问量
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr

# 查找可疑请求
grep -E "(union.*select|eval\(|base64_decode|<\s*script)" /var/log/nginx/access.log

3.2 使用GoAccess可视化分析

goaccess /var/log/nginx/access.log --log-format=COMBINED

3.3 使用ELK Stack

• Elasticsearch + Logstash + Kibana提供强大的日志分析和可视化

4. 实时防护措施

4.1 结合Fail2Ban

配置Fail2Ban规则示例：

[nginx-badbots]
enabled = true
port = http,https
filter = nginx-badbots
logpath = /var/log/nginx/security.log
maxretry = 2

[nginx-noscript]
enabled = true
port = http,https
filter = nginx-noscript
logpath = /var/log/nginx/security.log
maxretry = 2

4.2 Nginx限流配置

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

server {
    location /login {
        limit_req zone=one burst=20;
    }
}

5. 高级防护建议

1. 设置自定义错误页面：避免泄露服务器信息
2. 禁用不必要的HTTP方法：如TRACE, TRACK等
3. 实施WAF：如ModSecurity或Cloudflare
4. 定期审计日志：建立自动化报警机制
5. IP黑名单：对确认的恶意IP实施永久封禁

6. 自动化脚本示例

#!/bin/bash
# 自动分析Nginx日志并封禁可疑IP

LOG_FILE="/var/log/nginx/security.log"
BLACKLIST="/etc/nginx/conf.d/blacklist.conf"

# 查找1小时内请求超过100次的IP
BAD_IPS=$(awk -vDate=`date -d'now-1 hours' +[%d/%b/%Y:%H:%M:%S` ' { if ($4 > Date) print $1 }' $LOG_FILE | sort | uniq -c | sort -nr | awk '{if($1 > 100) print $2}')

# 更新黑名单
echo "geo \$bad_ips {" > $BLACKLIST
echo " default 0;" >> $BLACKLIST
for ip in $BAD_IPS; do
    echo " $ip 1;" >> $BLACKLIST
    echo "已封禁IP: $ip"
done
echo "}" >> $BLACKLIST

# 重载Nginx配置
nginx -s reload

通过合理配置和分析Nginx日志，您可以有效识别和防范多种网络攻击，提升服务器安全性。