灵活配置Nginx，预防和缓解 HTTP 请求头攻击
HTTP 请求头是 HTTP 协议中的一个重要组成部分，包含了请求的信息，如客户端的身份、请求的目标、传输的内容类型等。请求头中的某些字段，如 User-Agent、Referer、Host、X-Forwarded-For 等，可以被恶意攻击者利用，发起针对服务器的各种攻击。HTTP 请求头攻击，尤其是在 Web 服务器上，往往是利用不当的输入验证或安全配置，导致 Web 应用暴露在安全风险之下。
作为世界上最受欢迎的 Web 服务器之一，Nginx 在处理 HTTP 请求时，通过其灵活的配置，能够有效预防和缓解 HTTP 请求头攻击。
一、HTTP 请求头攻击概述
HTTP 请求头攻击是一种利用 HTTP 请求头字段进行攻击的方式。攻击者可以伪造、篡改或者注入恶意内容到 HTTP 请求头中，借此绕过 Web 服务器或应用程序的防御机制，执行非法操作，甚至获取敏感信息。
常见的 HTTP 请求头攻击方式包括：
HTTP 头部注入攻击（HTTP Header Injection）：攻击者通过注入恶意的 HTTP 头部数据，可能导致重定向、跨站脚本攻击（XSS）等安全问题。
请求头伪造：攻击者伪造 HTTP 请求头中的 X-Forwarded-For 或 Host 等字段，用以欺骗服务器或绕过防火墙，进行身份伪装或绕过访问控制。
HTTP 请求走私（HTTP Request Smuggling）：通过注入恶意的请求头，攻击者可能将一个请求“分割”成两个请求，绕过服务器和代理服务器的过滤机制。
恶意 User-Agent 或 Referer：通过伪造 User-Agent 或 Referer 字段，攻击者可能绕过某些基于这些字段的安全机制，甚至触发 Web 应用的漏洞，进行远程代码执行、CSRF 攻击等。
长请求头攻击（Large Header Attack）：攻击者通过发送异常大的请求头，消耗服务器的内存和处理能力，导致资源耗尽或服务拒绝。
二、Nginx 防止 HTTP 请求头攻击的策略
Nginx 提供了多种机制和配置选项来防止 HTTP 请求头攻击。通过合理配置 Nginx，能够有效过滤恶意请求，避免 Web 应用的安全漏洞被攻击者利用。
1. 限制请求头的大小
恶意攻击者可以通过发送过大的 HTTP 请求头，来消耗服务器资源或导致服务器崩溃。因此，限制请求头的大小是一种有效的防止请求头攻击的方法。
在 Nginx 中，您可以通过 client_header_buffer_size 和 large_client_header_buffers 指令来限制请求头的大小。
http {
# 限制请求头大小
client_header_buffer_size 1k; # 每个请求的请求头缓冲区大小，默认为 1k
large_client_header_buffers 4 8k; # 大的请求头缓冲区，允许最大 8k 的请求头
}
client_header_buffer_size：指定请求头缓冲区的大小。Nginx 会为每个连接分配一定大小的内存来存储请求头，如果请求头超过这个大小，Nginx 会尝试增加更多的内存来处理请求头。
large_client_header_buffers：控制大的请求头缓存的数量和大小，防止请求头过大导致内存溢出。
通过设置合理的请求头大小，可以防止大请求头的攻击，有效降低资源消耗。
2. 限制请求频率
在某些情况下，攻击者可能通过发送大量的恶意请求来执行 HTTP 请求头攻击。此时，可以通过 limit_req 指令来限制请求频率，从而减轻服务器的压力。
http {
# 设置请求频率限制
limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=1r/s;
server {
listen 80;
location / {
limit_req zone=req_limit_per_ip burst=10 nodelay;
proxy_pass http://backend_server;
}
}
}
limit_req_zone：定义请求频率限制的区域，rate=1r/s 表示每个 IP 地址每秒最多可以发起 1 个请求。
limit_req：在 location 块中应用频率限制，burst=10 允许客户端突发最多 10 个请求，nodelay 表示当请求超过限制时立即拒绝。
通过限制请求频率，Nginx 可以有效地防止恶意请求的泛滥，避免因大量请求而造成的资源消耗和拒绝服务攻击。
3. 防止 HTTP 头部注入
HTTP 头部注入攻击通常是通过恶意的请求头来注入额外的 HTTP 头，导致服务器行为异常。Nginx 可以通过限制和过滤请求头字段来有效阻止此类攻击。
3.1 限制请求方法
通过限制请求方法，可以减少攻击者利用不当 HTTP 方法进行注入的机会。例如，限制只允许 GET 和 POST 方法：
http {
server {
listen 80;
server_name example.com;
# 限制 HTTP 请求方法
if ($request_method !~ ^(GET|POST)$) {
return 405; # 禁止其他 HTTP 方法
}
location / {
# 正常的反向代理配置
proxy_pass http://backend_server;
}
}
}
$request_method：表示客户端请求的方法。通过正则匹配，只允许 GET 和 POST 方法。
3.2 禁止特定的请求头字段
某些请求头字段（如 X-Forwarded-For、X-Real-IP 等）可能被攻击者伪造，以绕过防火墙或进行身份伪造。Nginx 可以通过配置禁止这些字段的传递。
server {
listen 80;
server_name example.com;
location / {
# 禁止传递 X-Forwarded-For 请求头
if ($http_x_forwarded_for) {
return 400;
}
# 禁止传递 X-Real-IP 请求头
if ($http_x_real_ip) {
return 400;
}
proxy_pass http://backend_server;
}
}
$http_x_forwarded_for：表示请求头中的 X-Forwarded-For 字段，攻击者可能通过伪造该字段来篡改 IP 地址。
4. 限制客户端请求头字段的数量
恶意攻击者可能会发送大量的请求头字段，以消耗服务器资源。为了防止这一点，Nginx 允许通过 client_max_body_size 和 client_header_buffer_size 指令控制请求头字段的数量和大小。
http {
# 限制请求头字段的数量
client_max_body_size 1m;
client_header_buffer_size 1k;
large_client_header_buffers 4 8k;
}
client_max_body_size：限制请求体的最大大小。恶意请求可能会通过大请求体来消耗服务器资源。
client_header_buffer_size 和 large_client_header_buffers：限制请求头字段的数量，防止请求头过多导致服务器性能问题。
通过合理配置这些参数，可以有效避免恶意请求头的攻击。
5. 使用 Web 应用防火墙（WAF）
Nginx 本身也支持通过模块集成 Web 应用防火墙（WAF）来增强安全性。WAF 能够深入分析 HTTP 请求，检测和阻止潜在的恶意请求头攻击。常见的 WAF 解决方案包括 ModSecurity，它可以与 Nginx 集成，实时检测和阻止各种 Web 攻击。
通过集成 WAF，Nginx 能够对 HTTP 请求进行更加细致的分析，进一步提升 Web 应用的安全性。
三、Nginx 配置示例：防止 HTTP 请求头攻击
结合前面提到的防御措施，以下是一个完整的 Nginx 配置示例，防止 HTTP 请求头攻击：
http {
client_header_buffer_size 1k;
large_client_header_buffers 4 8k;
client_max_body_size 1m;
limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=1r/s;
server {
listen 80;
server_name example.com;
# 限制 HTTP 请求方法
if ($request_method !~ ^(GET|POST)$) {
return 405; # 禁止其他 HTTP 方法
}
# 禁止 X-Forwarded-For 和 X-Real-IP 请求头
if ($http_x_forwarded_for) {
return 400;
}
if ($http_x_real_ip) {
return 400;
}
# 启用请求频率限制
limit_req zone=req_limit_per_ip burst=10 nodelay;
# 正常的反向代理配置
location / {
proxy_pass http://backend_server;
}
}
}
四、总结
Nginx 是一个高效的 Web 服务器，具有灵活的配置和强大的安全功能。通过合理配置 Nginx，开发者可以有效防止 HTTP 请求头攻击，如 HTTP 头部注入、请求头伪造、恶意 User-Agent 等。常见的防护措施包括限制请求头大小、限制请求频率、禁止特定请求头字段、使用 WAF 等。
在生产环境中，配合 Nginx 的防护措施，能够显著提高 Web 应用的安全性，减少因 HTTP 请求头攻击导致的安全风险。合理配置 Nginx，能使 Web 应用更好地应对各种安全威胁，提供稳定可靠的服务。
原文链接：https://blog.csdn.net/Flying_Fish_roe/article/details/144523077
