☰

OWASP ZAP обнаружил, что сервер Nginx уязвим к «Раскрытию прокси». Помощь в исправлении этого должна быть оценена по достоинству

tag-icon • tag-icon nginx owasp
OWASP ZAP обнаружил, что сервер Nginx уязвим к «Раскрытию прокси». Помощь в исправлении этого должна быть оценена по достоинству

Я выполнил OWASP ZAP на своем веб-сайте, и среди прочего появилось предупреждение о раскрытии информации о прокси-сервере.

Оповещение о раскрытии информации о доверенных лицахhttps://www.zaproxy.org/docs/alerts/40025/

Описание OWASP 1 прокси-сервер(ы) были обнаружены или отпечатаны. Эта информация помогает потенциальному злоумышленнику определить

  • Список целей для атаки на приложение.

  • Потенциальные уязвимости на прокси-серверах, обслуживающих приложение.

  • Наличие или отсутствие каких-либо прокси-компонентов, которые могут позволить обнаружить, предотвратить или смягчить атаки на приложение.

Предлагаемое решение
Отключите метод «TRACE» на прокси-серверах, а также на исходном веб-сервере/сервере приложений. Отключите метод «OPTIONS» на прокси-серверах, а также на исходном веб-сервере/сервере приложений, если он не требуется для других целей, таких как «CORS» (Cross Origin Resource Sharing). Настройте веб-серверы и серверы приложений с пользовательскими страницами ошибок, чтобы предотвратить утечку «отпечатков пальцев» страниц ошибок, специфичных для продукта, пользователю в случае ошибок HTTP, таких как запросы «TRACK» для несуществующих страниц. Настройте все прокси-серверы, серверы приложений и веб-серверы, чтобы предотвратить раскрытие информации о технологии и версии в заголовках HTTP-ответов «Server» и «X-Powered-By».

Попытка, которую я предпринял на данный момент: Я последовал совету отсюдаВеб-сайти добавил условие для отключения PATCH, TRACE и OPTIONS в nginx.conf. Не уверен, работает ли это и правильно ли я это сделал. Есть ли какие-нибудь советы по исправлению «Настройте все прокси, серверы приложений и веб-серверы для предотвращения раскрытия информации о технологии и версии в заголовках HTTP-ответа «Server» и «X-Powered-By»»? Спасибо.

http-request-methods.html сервер{ если ($request_method ~ ^(PATCH|TRACE|OPTIONS)$){ вернуть 405; } }

nginx.conf:

user www-data;
worker_processes auto;
pid /run/nginx.pid;

events {
        worker_connections 768;
        # multi_accept on;
}

http {
        include /etc/nginx/proxy.conf;
        server_tokens off;

    ##
    # Basic Settings
    ##

    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    client_body_timeout 10;
    types_hash_max_size 2048;

    upstream portal {
            server 127.0.0.1:5002;
    }

    upstream api {
            server 127.0.0.1:5000;
    }
    
    include /etc/nginx/mime.types;
    default_type application/octet-stream;

    ##
    # SSL Settings
    ##

    ssl_protocols TLSv1.2; # Dropping SSLv3, ref: POODLE
    ssl_prefer_server_ciphers on;

    ##
    # Logging Settings
    ##

    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log /var/log/nginx/access.log main;
    error_log /var/log/nginx/error.log;

    ##
    # Gzip Settings
    ##

    gzip on;
    gzip_disable "msie6";

    # gzip_vary on;
    # gzip_proxied any;
    # gzip_comp_level 6;
    # gzip_buffers 16 8k;
    # gzip_http_version 1.1;
    # gzip_types text/plain text/css application/json application/javascript text/xml applicati>

    ##
    # Virtual Host Configs
    ##

    include /etc/nginx/conf.d/*.conf;
    include /etc/nginx/sites-enabled/*;
    server{
            if ($request_method ~ ^(PATCH|TRACE|OPTIONS)$){
            return 405;
            }
    }
}

решение1

Я думаю, вы на правильном пути.

Есть ли какие-нибудь советы по исправлению ошибки «Настройте все прокси, серверы приложений и веб-серверы для предотвращения раскрытия информации о технологии и версии в заголовках HTTP-ответов «Сервер» и «X-Powered-By»»? Спасибо.

server_tokens выключены;

proxy_hide_header X-Powered-By;

Затем перезагрузите Nginx.

Возможно, вам стоит провести еще один тест, чтобы убедиться, что уязвимости устранены.

Связанный контент