黑客如何用nginx攻击一个网站？_网站被黑nginx-优快云博客

本文链接：https://blog.youkuaiyun.com/2401_85280228/article/details/146070794

_{最好的防御方式就是攻击} 知己知彼，百战不殆。掌握攻击者的套路才好顶得住攻击。

可能我的读者多少了解过Nginx，我先给不了解的同学简单说一下原理。已经了解的跳到第二节。

3分钟了解`Nginx`

Nginx是一款高性能的Web服务器和反向代理服务器。

它可以用来搭建网站、做应用服务器，能够处理大量的并发连接和请求。

静态内容托管（主要）：可以用来做网页、图片、文件的 “静态”内容托管。
动态内容托管（主要）：将经常访问的动态内容缓存到内存中，提高访问速度和性能。
反向代理（主要）：将客户端的请求发送到后端真实服务器，并将后端服务器的响应返回给客户端。

类似于一个快递收发室，指挥快递（流量）应该投递到哪个买家。

它还能提供一些高级功能：

负载均衡：将客户端的请求分发到多个后端服务器上，从而提高服务的可用性和性能。
SSL/TLS加密传输：通过加密和认证保护数据传输安全。
HTTP/2支持：通过多路复用技术提高并发连接处理能力和页面加载速度。
安全防护：提供多种防护机制，如限制IP访问、请求频率限制、反爬虫等。
动态内容处理：支持FastCGI、uWSGI等协议，与后端应用服务器进行动态内容交互。
日志记录：记录访问日志和错误日志，方便监控和排查问题。
自定义模块开发：支持自定义模块开发，可以根据需求进行二次开发和扩展。

读到这里，我知道很多人脑子都要爆了。现在让我们直入主题。结合以上功能的能做哪些攻击方式。

反向代理攻击

使用Nginx作为反向代理服务器，将攻击流量转发到目标服务器。这样就能隐藏攻击流量的真实地址。

server {
    listen 80;
    server_name www.example.com;
    location / {
        proxy_pass http://backend_server;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

所有访问www.example.com:80的流量全部都会转发到http://backend_server服务器上。
proxy_set_header X-Real-IP $remote_addr; 设置请求头提供真实来源ip。
proxy_set_header Host $host;设置访问的Host。

只要把X-Real-IP改成其他不存在的IP，就可以隐藏自己的真实IP地址，让攻击更难以被追踪和防御。当然相对于客户端来说，只能知道nginx的地址就不知道真实服务器的地址了。

DDoS攻击

DDoS攻击就是借助某些工具瞬间发动大量的请求，让服务器资源耗尽，无法正常响应其他用户的请求，一般也常用于压力测试。介绍一些常用的工具：

ApacheBench (ab)：常用的命令行工具，用于模拟多个并发请求。可以控制请求总数、并发数等参数。
Siege：命令行工具，和上面一样，并且还支持 HTTP 和 HTTPS 协议。
JMeter：一个功能强大的 Java 应用程序，可以用于模拟各种负载情况。JMeter 可以通过图形界面进行配置，支持更多协议和数据格式，包括 HTTP、HTTPS、SOAP、REST 等。

但事实往往比这个残酷，攻击者会做一些病毒，在网络上传播开来，病毒运行时可以直接疯狂访问服务器，或者利用Nginx提供的反向代理和其支持的比如socket、SSL，不断的建立握手请求。

限流、黑名单防御

小熊主要给大家介绍怎么防御。这种病毒感染方式就不说了，我害怕戴银手铐。

http {
    limit_req_zone $binary_remote_addr zone=one:10m rate=5r/s;

    geo $block {
        default 0;
        include /path/to/block_ip.txt;
    }

    server {
        listen 80;

        location / {
            limit_req zone=one burst=10 nodelay;
            if ($block) {
                return 403;
            }
            proxy_pass http://backend;
        }
    }
}

limit_req_zone 定义了一个名为“one”的限制请求速率的区域，该区域的大小为10MB，请求速率限制为每秒5个请求。
limit_req 指定使用名为“one”的限制规则。
geo $block是黑名单，这个文件可以写需要屏蔽的ip。
server块中的location指令使用了limit_req和if表示黑名单的返回403状态码。

负载均衡防御

假设我有两个后端服务器。

http {
  upstream backend {
    # 轮询方式的负载均衡
    server backend1.example.com;
    server backend2.example.com;
  }
...
  server{...}
}

有多种负载均衡方式。

 server {
   ...
    location /api/ {
      # 轮训
      proxy_pass http://backend;
    }

    location /lb/ {
      # IP哈希方式的负载均衡
      ip_hash;
      proxy_pass http://backend;
    }

    location /upstream/ {
      # 根据服务器性能或响应时间进行加权轮询
      upstream backend {
        server backend1.example.com weight=2;
        server backend2.example.com;
      }
      # 对 backend 进行访问
      proxy_pass http://backend;
    }

    location /least_conn/ {
      # 最少连接数的负载均衡
      least_conn;
      proxy_pass http://backend;
    }

    location /random/ {
      # 随机方式的负载均衡
      random;
      proxy_pass http://backend;
    }

    location /sticky/ {
      # 基于客户端IP的哈希方式的负载均衡
      hash $remote_addr consistent;
      server backend1.example.com;
      server backend2.example.com;
    }
  }

很多人学nginx都会对ip_hash和基于客户端IP的哈希方式的负载均衡有疑惑。分不清，我一句话给大家讲清楚。

ip_hash能保证相同来源一定能访问相同的服务器，适用于登录等有状态的场景。在请求量少的时候，容易出现很多ip落在同一服务器上，分布不均衡。
基于客户端ip的hash，是根据客户端 IP 地址计算哈希值，然后将哈希值与后端服务器数量取模。使请求平均分配到不同的服务器上，也能保证同一ip请求落到同一服务器上。但是可以保证各个服务器比较均衡。

我认为使用方式二更好，可能理解有限，欢迎各位读者分享自己的看法！

网络钓鱼攻击

黑客可以使用Nginx伪装成一个合法的网站，诱骗用户输入敏感信息。例如，他们可以使用Nginx构造一个伪造的登录页面，让用户输入用户名和密码，然后将这些信息发送给黑客服务器。

其实就是静态托管+反向代理功能的组合。

server {
    listen       80;
    server_name  example.com;

    # 静态网站托管
    location / {
        root   /var/www/mywebsite/dist;
        index  index.html index.htm;
    }

    # API代理转发
    location /api {
        proxy_pass  http://localhost:8000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

访问根目录就访问到静态的网站资源。
访问/api路由转发到api服务上。

我的博客就用了这种方式，同样的我写了很多了不同的server{}块，来监听不同的域名，这样我可以把多个网站全部部署在同一台机器上，极限利用服务器资源。

最后

这两天在写一个小程序，计划做成程序员资源、求助、内推、课程、学习路线图之类的综合类小程序，所以更新有点慢了，见谅见谅。

对于今天所述的文章，真正有不良居心的人，总是会有更sao的攻击方法。我也不敢说得太多，而且这些攻击的行为都是违法的，建议大家学会以后手下留情。

今天的目的实际上是教大家学会nginx的常用配置方法，用心良苦，莫辜负点个赞再走。

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。
请添加图片描述

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

3、行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…