生产级 Nginx 安全基线加固：5 步阻断 90% 恶意探测与扫描器

curl -sI https://your-domain.com | grep -i '^server:'

for p in /.git/config /.env /db.sql /backup.zip /dump.sql; do
  printf "%-16s -> HTTP %s\n" "$p" "$(curl -s -o /dev/null -w '%{http_code}' https://your-domain.com$p)"
done

grep -iE 'sqlmap|nikto|nmap|acunetix|nessus|nuclei|gobuster|dirbuster|wpscan|masscan' \
  /var/log/nginx/access.log | awk '{print $1, $12}' | sort | uniq -c | sort -rn | head -10

/etc/nginx/
├── nginx.conf
└── conf.d/
    └── snippets/
        ├── security_core.conf      # 注入 http {}
        └── security_server.conf    # 注入 server {}

# 1. 隐藏 Nginx 详细版本信息与错误页版本号
server_tokens off;

# 2. 恶意 User-Agent 映射字典（利用高效哈希表匹配，O(1) 效率优于纯正则匹配）
map $http_user_agent $is_malicious_scanner {
    default 0;
    "~*(sqlmap|nikto|nmap|masscan|acunetix|nessus|nuclei|xray|wpscan|gobuster|dirbuster|zgrab|curl/.*python)" 1;
}

# 3. 流量控制 Zone（基于二进制远程 IP 内存表，降低内存占用）
# 全局请求速率：每秒 10 个请求，10MB 内存空间约可容纳 16 万 IP 状态
limit_req_zone $binary_remote_addr zone=global_req_limit:10m rate=10r/s;

# 核心认证接口更严格的限流区（如登录、发信接口）
limit_req_zone $binary_remote_addr zone=auth_limit:10m rate=1r/s;

# IP 连接数上限限制
limit_conn_zone $binary_remote_addr zone=ip_conn_limit:10m;

# -------------------------------------------------------------
# 1. 关键例外放行：Let's Encrypt / ACME 挑战放行
# 必须使用 ^~ 前缀匹配，抢在后续正则 location 之前生效，避免续签被误伤阻断
# -------------------------------------------------------------
location ^~ /.well-known/acme-challenge/ {
    allow all;
    access_log off;
}

# -------------------------------------------------------------
# 2. 敏感隐藏目录与工程配置文件阻断 (.git, .env, .svn 等)
# -------------------------------------------------------------
location ~* /\.(git|svn|hg|env|DS_Store) {
    deny all;
    access_log off;
    log_not_found off;
}

# -------------------------------------------------------------
# 3. 备份、脚本、数据库转储后缀阻断
# -------------------------------------------------------------
location ~* \.(bak|old|orig|sql|zip|rar|tar|gz|log|ini|sh|swp|dump)$ {
    deny all;
    access_log off;
    log_not_found off;
}

# -------------------------------------------------------------
# 4. 扫描器 User-Agent 与异常 HTTP 请求方法阻断
# -------------------------------------------------------------
# 阻断恶意扫描器
if ($is_malicious_scanner) {
    return 403;
}

# 仅放行生产标准 HTTP 请求方法（按需开放 PUT/DELETE）
if ($request_method !~ ^(GET|HEAD|POST)$) {
    return 405;
}

# -------------------------------------------------------------
# 5. 限速与并发限制配置
# -------------------------------------------------------------
limit_req zone=global_req_limit burst=20 nodelay;
limit_conn ip_conn_limit 20;
limit_req_status 429;
limit_conn_status 429;

# -------------------------------------------------------------
# 6. HTTP 安全防护响应头 (Security Headers)
# -------------------------------------------------------------
# 点击劫持防御
add_header X-Frame-Options "SAMEORIGIN" always;

# 禁止 MIME 类型嗅探
add_header X-Content-Type-Options "nosniff" always;

# 规避敏感参数随 Referer 外泄
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# 仅 HTTPS 站点启用：强制 1 年 HSTS，包含子域名
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# Step 1: 必须通过配置语法自检
sudo nginx -t

# Step 2: 平滑重载（不中断现有活跃连接）
sudo nginx -s reload

DOMAIN="your-domain.com"

echo "=== 1. 验证版本指纹 ==="
curl -sI "https://$DOMAIN" | grep -i '^server:'

echo "=== 2. 验证敏感路径拦截 (预期 403) ==="
curl -sI "https://$DOMAIN/.git/config" | head -n 1
curl -sI "https://$DOMAIN/database.sql" | head -n 1

echo "=== 3. 验证恶意扫描器拦截 (预期 403) ==="
curl -sI -A "sqlmap/1.7" "https://$DOMAIN" | head -n 1

echo "=== 4. 验证异常 HTTP 请求方法 (预期 405) ==="
curl -sI -X TRACE "https://$DOMAIN" | head -n 1

echo "=== 5. 验证安全响应头 ==="
curl -sI "https://$DOMAIN" | grep -iE 'x-frame|x-content-type|referrer|strict-transport'