我們?cè)谡军c(diǎn)維護(hù)的過程中經(jīng)常需要對(duì)Nginx配置文件進(jìn)行修改,本文分享一些實(shí)用的規(guī)則,修改nginx的配置之前務(wù)必做好備份,修改完畢后需要重載一次nginx的,否則不會(huì)生效。
比如將網(wǎng)站數(shù)據(jù)庫(kù)導(dǎo)出到站點(diǎn)根目錄進(jìn)行備份,很有可能也會(huì)被別人下載,從而導(dǎo)致數(shù)據(jù)丟失的風(fēng)險(xiǎn)。以下規(guī)則可以防止一些常規(guī)的文件被下載,可根據(jù)實(shí)際情況增減。
location ~ \.(zip|rar|sql|bak|gz|7z)$ {
return 444;
}如果經(jīng)常分析網(wǎng)站日志你會(huì)發(fā)現(xiàn),一些奇怪的UA總是頻繁的來訪問網(wǎng)站,而這些UA對(duì)網(wǎng)站收錄毫無意義,反而增加服務(wù)器壓力,可以直接將其屏蔽。
if ($http_user_agent ~* (SemrushBot|python|MJ12bot|AhrefsBot|AhrefsBot|hubspot|opensiteexplorer|leiki|webmeup)) {
return 444;
}比如網(wǎng)站上傳目錄,通常存放的都是靜態(tài)文件,如果因程序驗(yàn)證不嚴(yán)謹(jǐn)被上傳木馬程序,導(dǎo)致網(wǎng)站被黑。以下規(guī)則請(qǐng)根據(jù)自身情況改為您自己的目錄,需要禁止的腳本后綴也可以自行添加。
#uploads|templets|data 這些目錄禁止執(zhí)行PHP
location ~* ^/(uploads|templets|data)/.*.(php|php5)$ {
return 444;
}如果網(wǎng)站被惡意灌水或CC攻擊,可從網(wǎng)站日志中分析特征IP,將其IP或IP段進(jìn)行屏蔽。
#屏蔽192.168.5.23這個(gè)IP deny 192.168.5.23; #屏蔽192.168.5.* 這個(gè)段 denu 192.168.5.0/24;
普通的防盜鏈?zhǔn)峭ㄟ^referer來做,比如:
location ~* \.(gif|jpg|png|bmp)$ {
valid_referers none blocked *.example.com server_names ~\.google\. ~\.baidu\.;
if ($invalid_referer) {
return 403;
}
}限速包括限制請(qǐng)求的并發(fā)數(shù)和請(qǐng)求的下載速度。
簡(jiǎn)單的限制某個(gè)線程的下載速度就直接加上一句話就可以了:
limit_rate 1024k;
更改此文件的名字,讓別人猜不到,例如限制:/xmlrpc.php
在服務(wù)器加入以下代碼:
location =/xmlrpc.php
{
deny all;
}加入之后,再次訪問,會(huì)拒絕訪問請(qǐng)求:返回403報(bào)錯(cuò)!
掃碼贊賞,鼓勵(lì)支持
相關(guān)問題
Centos 7.x 下做端口映射/端口轉(zhuǎn)發(fā)Windows server 2008/2012/2016/2019 服務(wù)器桌面不顯示我的電腦(計(jì)算機(jī))的解決方案No input file specified的解決方法網(wǎng)站如何添加工信部網(wǎng)站備案號(hào)和鏈接代碼騰訊云對(duì)象存儲(chǔ)內(nèi)網(wǎng)與外網(wǎng)地址訪問Windows遠(yuǎn)程桌面多個(gè)用戶如何同時(shí)使用Chrome谷歌瀏覽器?