nginx naxsi 模块

Posted 2023-04-13

参考技术A

上周项目组的伙伴在灰度访问项目时，发现发送不了消息了。排查各个请求发现有请求被ng拦截了。

于是找到ng拦截日志，路径在ng配置的error日志中，默认在nginx根目录下的log目录下的error.log

如下：

那么我们就知道这个日志表明：该uri请求违反了id=11的naxsi规则，被拦截了。那么id=11的规则是什么呢？让我们了解下naxsi定义的规则，配置在ng的http中规则文件：

5、匹配区域

那么 @MainRule "msg:unknown content-type" id:11; 就是请求违反的规则，不知名的内容类型。从浏览器此请求header看，它的content-type为text/plain.

对比生产其他ng配置，发现其在naxsi的白名单中放过了id11，故可正常运行。 那么，我们再灰度环境配置中，增加此白名单即可解决。 让我们来看看，如何配置naxsi的白名单。

其中wl 单独匹配放过某项规则，如：

mz:MATCHZONE 配合wl规则，制定对应匹配区域规则，区域包括： URL, ARGS, HEADERS, BODY.

示例：url为/foo 请求放过BODY请求中参数名中的规则1310,1311

备注：增加|NAME标示对应目标为参数名，而非参数值。

更多示例，可参考

防止SQL注入和XSS注入的方法总结

1、在OpenResty中添加naxsi加强防御

https://github.com/nbs-system/naxsi

安装方法

https://www.cnblogs.com/kgdxpr/p/9841456.html

2、防止SQl注入的思路和方法

    1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。
    
    2.永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。
   
    3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
 
    4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
    
    5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
    
    6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等

MySQL安全问题（防范必知）

https://www.cnblogs.com/chenqionghe/p/4873665.html

3、在绝大多数位置，加上代码级判断，多重拦截攻击

package SQL_inject

import "regexp"

// 正则过滤sql注入的方法
// 参数 : 要匹配的语句
func FilteredSQLInject(to_match_str string) bool {
    //过滤 ‘
    //ORACLE 注解 --  /**/
    //关键字过滤 update ,delete
    // 正则的字符串, 不能用 " " 因为" "里面的内容会转义
    str := `(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|((select|update|and|or|delete|insert|trancate|char|chr|into|substr|ascii|declare|exec|count|master|into|drop|execute))`
    re, err := regexp.Compile(str)
    if err != nil {
        panic(err.Error())
        return false
    }
    return re.MatchString(to_match_str)
}

4、防止xss攻击

使用这个方法 :golang web xss攻击预防https://blog.csdn.net/liangguangchuan/article/details/54617685
https://blog.csdn.net/suiban7403/article/details/80565728?depth_1-utm_source=distribute.pc_relevant.none-task&utm_source=distribute.pc_relevant.none-task

5、两台（或多台)主机之间，采用防火墙白名单IP互通，对外只提供80端口，防止端口攻击

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="172.16.110.55"   accept" 
#重新载入
firewall-cmd --reload

一旦出现SQL注入，一切都是零！谁的代码不按要求进行开发防注入，就处罚谁，而且要狠狠处罚，按月薪一半进行处罚，切切！