分享一个nginx安全规则。

91次阅读

共计 4372 个字符，预计需要花费 11 分钟才能阅读完成。

能有效防止 70% 攻击。

if ($request_uri ~* “(.gz)|(%27)|(.tar)|(admin)|(.zip)|(.sql)|(.asp)|(.rar)|(function)|($_GET)|(eval)|(?php)|(config)|(%22)|(.bak)|(”)|(\’)”) {
return 301 http://lg-dene.fdcservers.net/10GBtest.zip;
}

复制代码

网友回复：

注册： if ($request_uri ~* “(.gz)|(“)|(.tar)|(admin)|(.zip)|(.sql)|(.asp)|(.rar)|(function)|($_GET)|(eval)|(?php)|(config)|(’)|(.bak)”) {return 301 http://lg-dene.fdcservers.net/10GBtest.zip;} #禁止下载以 XXX 后缀的文件 location ~ .(zip|rar|sql|bak|gz|7z)$ {return 444;} #访问链接里含有 test 直接跳转到公安网 if ($request_uri ~* test=) {return 301 https://www.mps.gov.cn;} if ($http_user_agent ~* (SemrushBot|python|MJ12bot|AhrefsBot|AhrefsBot|hubspot|opensiteexplorer|leiki|webmeup)) {return 444;} 复制代码

奧巴马： ” 提交的时候论坛过滤了

飞鱼 8 ：收藏，所以 lg-dene.fdcservers.net 会来找楼主报销流量吗

奧巴马： 10GBtest.zip

ccagml：有点狠，其实改成白名单感觉更狠(

冲浪麦浪花郎：狼灭

Cstudent：感谢分享

xieshang：先收藏

万半仙：太狠了，但确实有效（

zhongziso：那是有针对性做安全。太麻烦，1 IP 博客也没必要。但就是 1IP 博客那帮人还天天扫，天天扫，也不累。我从日志总结了一下，有这些特点。

qwe520：哈哈哈哈

ZYGLQexplorer：优秀啊，卧槽。

奧巴马：收藏了感谢分享

注册：说下原理：当请求这些敏感词时跳转到别人家的下载文件链接

注册：哈哈哈哈这个 301 重定向可以的

YorkZhao： 1024，记录一下

jameskook：收藏，所以 lg-dene.fdcservers.net 会来找楼主报销流量吗

张小龙： return 404 不行吗

ccagml： 10GBtest.zip

冲浪麦浪花郎：换成 pr 的效果更佳

jinwyp：谢谢大佬分享

Cstudent：有效果吗请求到这个对方会下载吗

MoeWang：恨之入骨不过分吧 …

注册：来而不往非礼也。既然来都来了，总不要让人家空手而回嘛。

注册：谢谢分享

奧巴马：一个字绝

pandaking： mark

咖啡与美酒：那我访问后台 /admin 不就..

whbchj233：牛逼

御坂：大佬？具体怎么用啊？

makizhang：我想知道他们请求到会不会自动下载

麻豆传媒：基本安全知識，不要用 admin 作為管理路径

bmn：所以如果有这类需求得把 admin 字段去掉

注册：内网访问怎么办

注册：补充一下，漏了个点

Dickh1982：好办法，直接来个 10GB 的大文件，你下个够

奧巴马：你是不是空格沒对 if 后有个空格 {前有个空格

wg58462130：教教我 …

我是坏虫：空格我也打了，还是提示错误啊

奧巴马：你重新复制一下，有个（我搞成中文的（了

hdwan.net：还是报错，，，，不过错误提示少多了

老实人二狗：报错。。。。

注册：报错了。。。看了一下，报错原因 (“)，所以请删他就行了 if ($request_uri ~* “(.gz)|(.tar)|(admin)|(.zip)|(.sql)|(.asp)|(.rar)|(function)|($_GET)|(eval)|(?php)|(config)|(’)|(.bak)”) {return 301 http://lg-dene.fdcservers.net/10GBtest.zip;} 复制代码

注册： if ($request_uri ~* “(.gz)|(“)|(.tar)|(admin)|(.zip)|(.sql)|(.asp)|(.rar)|(function)|($_GET)|(eval)|(?php)|(config)|(’)|(.bak)”) {return 301 http://lg-dene.fdcservers.net/10GBtest.zip;} #禁止下载以 XXX 后缀的文件 location ~ .(zip|rar|sql|bak|gz|7z)$ {return 444;} #访问链接里含有 test 直接跳转到公安网 if ($request_uri ~* test=) {return 301 https://www.mps.gov.cn;} if ($http_user_agent ~* (SemrushBot|python|MJ12bot|AhrefsBot|AhrefsBot|hubspot|opensiteexplorer|leiki|webmeup)) {return 444;} 复制代码

云烟：也来收藏一下

飞鱼 8 ： ” 提交的时候论坛过滤了

honey：可以的老弟

奧巴马：嗯，那会我也刚发现，准备分享就看到你出来了

a7836002：骚操作

老实人二狗： (“) 改 (”)|

Rabbey：牛比啊，直接转发 10G 大文件，学习了

注册：这可怕的收藏量！

注册：有没有 100G 的文件我觉得 10G 太小了

ixs：我保存成功了

xz72670：感谢大佬，学到了。。。。祝大佬夜夜换新娘。

我是坏虫： ERROR: nginx: [emerg] “if” directive is not allowed here in /www/server/nginx/conf/nginx.conf:112 nginx: configuration file /www/server/nginx/conf/nginx.conf test failed 复制代码

飞鱼 8 ：不能放到 location 里面

nieyuli：没放在 location 里面呀，放在 nginx 最后面

yanyuo：好东西

奧巴马：示例：server {listen 80; server_name localhost; root “D:/phpstudy_pro/WWW”; location / { index index.php index.html; error_page 400 /error/400.html; error_page 403 /error/403.html; error_page 404 /error/404.html; error_page 500 /error/500.html; error_page 501 /error/501.html; error_page 502 /error/502.html; error_page 503 /error/503.html; error_page 504 /error/504.html; error_page 505 /error/505.html; error_page 506 /error/506.html; error_page 507 /error/507.html; error_page 509 /error/509.html; error_page 510 /error/510.html; autoindex off;} if ($request_uri ~* “(.gz)|(”)|(.tar)|(admin)|(.zip)|(.sql)|(.asp)|(.rar)|(function)|($_GET)|(eval)|(?php)|(config)|(’)|(.bak)”) {return 301 http://lg-dene.fdcservers.net/10GBtest.zip;} location ~ .php(.*)$ {fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; fastcgi_split_path_info ^((?U).+.php)(/?.+)$; fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name; fastcgi_param PATH_INFO $fastcgi_path_info; fastcgi_param PATH_TRANSLATED $document_root$fastcgi_path_info; include fastcgi_params; } } 复制代码

注册：双引号貌似不起作用，就算加上转译反斜杠

注册： evel 也不起作用

妖言惑众：还真沒试过，一会测一下

妖言惑众：优秀～～～我是 lg-dene.fdcservers.net 的老板，我来找你要流量钱

奧巴马： mark 了

清风九里：这个有点厉害，学习一下

yoki_：可以

hikanba：使用 cdn 的朋友注意了，使用第一个返回 10g 文件的规则，这个文件 cdn 是会缓存的。。刚才起来无聊看了一眼 cdn 流量，发现从昨晚开始流量就不正常，带宽跑到了 280m，流量已经统计出来的是 45gb，想了一下可能是这个 nginx 规则的原因，所以刚刚修改成返回 444 了。。

怪人：真是偷鸡不成蚀把米

nieyuli： 2333。。

注册： mark, 感谢分享

注册：这个东西必须依赖 NGINX 吗? CF 那个防火墙可以弄吗?

localhost:8080： mark mark 哈哈哈哈哈

huanx：这个代码确实全面了不少

拾贰：大佬厉害 666

xlouspeng： mark

sah： mark

liumer：先收藏。

温存 Blog：直接用 nginx 会报错。能不能给个不报错的代码？如果 (”) 删了会影响哪个？另外（’）这个好像也有问题

fzaas： urlencode 问题，已更新规则