Nginx 漏洞扫描及修复方案

Posted 2022-11-11 licbc

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Nginx 漏洞扫描及修复方案相关的知识，希望对你有一定的参考价值。

漏洞扫描结果

漏洞扫描

OSS2.0 物联网创新业务系统进行web类安全扫描发现1类安全问题，本次发现“缓慢的HTTP拒绝服务攻击”漏洞问题，综合评定网络安全等级处于中风险状态。

缓慢的HTTP拒绝服务攻击

http://172.25.5.13:10056

漏洞等级：中

缓慢的HTTP拒绝服务攻击是一种专门针对于Web的应用层拒绝服务攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量HTTP请求攻击，直到服务器带宽被打满，造成了拒绝服务。

慢速HTTP拒绝服务攻击经过不断的演变和发展，主要有三种攻击类型，分别是Slow headers、Slow body、Slow read。以Slow headers为例，Web应用在处理HTTP请求之前都要先接收完所有的HTTP头部，因为HTTP头部中包含了一些Web应用可能用到的重要的信息。攻击者利用这点，发起一个HTTP请求，一直不停的发送HTTP头部，消耗服务器的连接和内存资源。抓包数据可见，攻击客户端与服务器建立TCP连接后，每10秒才向服务器发送一个HTTP头部，而Web服务器在没接收到2个连续的时，会认为客户端没有发送完头部，而持续的等等客户端发送数据。如果恶意攻击者客户端持续建立这样的连接，那么服务器上可用的连接将一点一点被占满，从而导致拒绝服务。这种攻击类型称为慢速HTTP拒绝服务攻击。

修改建议

nginx 修复建议

1、通过调整$request_method，配置服务器接受http包的操作限制； 
2、在保证业务不受影响的前提下，调整
client_max_body_size, 
client_body_buffer_size, 
client_header_buffer_size,
large_client_header_buffers
client_body_timeout, 
client_header_timeout的值，必要时可以适当的增加； 
3、对于会话或者相同的ip地址，可以使用HttpLimitReqModule and HttpLimitZoneModule参数去限制请求量或者并发连接数； 
4、根据CPU和负载的大小，来配置worker_processes 和 worker_connections的值，公式是：max_clients = worker_processes * worker_connections。

具体nginx配置文件

user  deployer;
user root;
worker_processes  16;

#error_log  logs/error.log;
#error_log  logs/error.log  notice;
#error_log  logs/error.log  info;

#pid        logs/nginx.pid;
events 
    worker_connections  1024;


http 

    limit_req_zone $binary_remote_addr zone=req_one:10m rate=10r/s;
    limit_conn_zone $binary_remote_addr zone=limit_conn:10m;

    include       mime.types;
    default_type  application/octet-stream;

    #log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
    #                  '$status $body_bytes_sent "$http_referer" '
    #                  '"$http_user_agent" "$http_x_forwarded_for"';
    #access_log  logs/access.log  main;
    sendfile        on;
    #tcp_nopush     on;

    #keepalive_timeout  0;
    keepalive_timeout  65;
    client_max_body_size 2m;
    client_body_buffer_size 2m;
    client_header_buffer_size 2k;
    large_client_header_buffers 2 1k;
    client_body_timeout 10s;
    client_header_timeout 5s;


    #gzip  on;

    server 
        listen       10056;
        server_name  localhost;

        #charset koi8-r;

        #access_log  logs/host.access.log  main;

        location / 
            limit_conn limit_conn 10;
            proxy_redirect off;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_pass http://172.17.0.1:10050;

        

        #error_page  404              /404.html;
        # redirect server error pages to the static page /50x.html
        error_page   500 502 503 504  /50x.html;
        location = /50x.html 
            root   html;

WebSphere 修复建议

1、限制 HTTP 数据的大小  
在WebSphere Application Server 中进行如下设置： 
任何单个 HTTP 头的默认最大大小为 32768 字节。可以将它设置为不同的值。 
HTTP 头的默认最大数量为 50。可以将它设置为不同的限制值。 
另一种常见的 DOS 攻击是发送一个请求，这个请求会导致一个长期运行的 GET 请求。WebSphere Application Server Plug-in 中的 ServerIOTimeoutRetry 属性可限制任何请求的重试数量。这可以降低这种长期运行的请求的影响。 
设置限制任何请求正文的最大大小。 
2、设置keepalive参数 
打开ibm http server安装目录，打开文件夹conf，打开文件httpd.conf,查找KeepAlive值，改ON为OFF,其默认为ON。  
这个值说明是否保持客户与HTTP SERVER的连接，如果设置为ON，则请求数到达MaxKeepAliveRequests设定值时请求将排队，导致响应变慢。 
详见参考链接： 
http://www.ibm.com/developerworks/cn/websphere/techjournal/1210_lansche/1210_lansche.html#new-step32

Weblogic 修复建议

1、在配置管理界面中的协议->一般信息下设置 完成消息超时时间小于200 
2、在配置管理界面中的协议->HTTP下设置 POST 超时、持续时间、最大 POST 大小为安全值范围。 
http://docs.oracle.com/cd/E12890_01/ales/docs32/integrateappenviron/configWLS.html#wp1101063

Apache 修复建议

建议使用mod_reqtimeout和mod_qos两个模块相互配合来防护。 
1、mod_reqtimeout用于控制每个连接上请求发送的速率。配置例如： 
#请求头部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slowloris型的慢速攻击。 
RequestReadTimeout header=10-40,minrate=500 
#请求正文部分，设置超时时间初始为10秒，并在收到客户端发送的数据后，每接收到500字节数据就将超时时间延长1秒，但最长不超过40秒。可以防护slow message body型的慢速攻击。 
RequestReadTimeout body=10-40,minrate=500 
需注意，对于HTTPS站点，需要把初始超时时间上调，比如调整到20秒。 
示例： 
LoadModule reqtimeout_module modules/mod_reqtimeout.so 
<IfModule reqtimeout_module> 
        RequestReadTimeout header=10-40,minrate=500 body=10-40,minrate=500 
</IfModule> 
2、mod_qos用于控制并发连接数。配置例如： 
#当服务器并发连接数超过600时，关闭keepalive 
QS_SrvMaxConnClose 600  
#限制每个源IP最大并发连接数为50 
QS_SrvMaxConnPerIP 50 
这两个数值可以根据服务器的性能调整。 
更多关于qos_module配置参考： 
http://mod-qos.sourceforge.net/dos.html 
示例： 
LoadModule qos_module modules/mod_qos.so 
<IfModule qos_module> 
QS_SrvMaxConnClose 600 
QS_SrvMaxConnPerIP 50 
</IfModule>

IHS服务器

请您先安装最新补丁包，然后启用mod_reqtimeout模块，在配置文件中加入：  
LoadModule reqtimeout_module modules/mod_reqtimeout.so  
为mod_reqtimeout模块添加配置：  
<IfModule mod_reqtimeout.c> 
RequestReadTimeout header=10-40,MinRate=500 body=10-40,MinRate=500 
</IfModule> 
对于HTTPS站点，建议header=20-40,MinRate=500。  
参见：http://www-01.ibm.com/support/docview.wss?uid=swg21652165

F5负载均衡修复建议

F5负载均衡设备有相应的防护模块，如无购买可参考附件中的详细配置过程。 
关于F5的慢速攻击防护配置，请参考以下链接： 
https://support.f5.com/kb/en-us/solutions/public/10000/200/sol10260.html 
https://devcentral.f5.com/articles/mitigating-slow-http-post-ddos-attacks-with-irules-ndash-follow-up

IIS服务器

IIS可配置相关网站的Web.config如下： 
1、WebLimits设置： 
<configuration> 
    <system.applicationHost> 
        <webLimits connectionTimeout="00:00:30" 
        headerWaitTimeout="00:00:10" 
        dynamicIdleThreshold="150" 
        minBytesPerSecond="512" 
    /> 
    </system.applicationHost> 
</configuration> 
参考以下链接： 
https://docs.microsoft.com/en-us/iis/configuration/system.applicationhost/weblimits#configuration 
2、headerLimits设置： 
<configuration> 
 <system.webServer> 
  <security> 
   <requestFiltering> 
    <requestLimits> 
     <headerLimits> 
     <add header="Content-type" sizeLimit="100" /> 
     </headerLimits> 
    </requestLimits> 
   </requestFiltering> 
  </security> 
 </system.webServer> 
</configuration> 
参考以下链接： 
https://docs.microsoft.com/en-us/iis/configuration/system.webserver/security/requestfiltering/requestlimits/headerlimits/

以上是关于Nginx 漏洞扫描及修复方案的主要内容，如果未能解决你的问题，请参考以下文章

Nginx range filter模块数字错误漏洞修复 (Nginx平滑升级)

怎么样在php中使用fastcgi解析漏洞及修复方案