Nginx漏洞之未授权访问和源码泄漏漏洞处理

一、漏洞描述

某次安全扫描，发现某平台存在资源：未授权访问和源码泄漏；攻击者可能获取到网站的配置文件、敏感数据存储位置和访问凭证等信息。这意味着攻击者可以获得对网站的完全或部分控制权，进而进行恶意篡改、删除或添加恶意代码，破坏网站的正常运行、导致数据丢失、影响用户访问或利用网站进行其他不法行为。

处理：该资源接口进行鉴权设置，禁止公网未授权直接访问。

二、SSO服务器

SSO（Single Sign On）是实现在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统；尤其在大型企业和政府部门等电子化系统办公场景中，一般办公系统会由多个不同的子系统构成，如果这些子系统直接暴漏，缺乏鉴权，就会出现上述的漏洞风险，那如何保证安全又不影响子系统业务交互呢？这个时候有一个SSO 单点登录就显得尤为重要了。但是注意，过多引入第三方SSO框架会让我们的异常错误可能出现：不在自己可控制的范围内的情况，可能不利于提高项目的健壮性及可持续发展。流程示意如下：
在这里插入图片描述
1）SSO建设选择

常用的13个开源免费单点登录SSO系统：

  • sa-token - 一个轻量级 Java 权限认证框架，让鉴权变得简单、优雅！
  • authelia - 是一个免费、开源、可私有化部署的单点登录（SSO）项目
  • BootstrapAdmin - 基于 RBAC 的 Net7 后台管理框架，权限管理，前后台分离，支持多站点单点登录，兼容所有主流浏览器
  • JustAuth - 如你所见，它仅仅是一个第三方授权登录的工具类库
  • MaxKey - 单点登录认证系统
  • jap - 一款开源的登录认证中间件，基于模块化设计，为所有需要登录认证的web应用提供一套标准的技术解决方案
  • eiam - 数字身份管控平台
  • CollectiveOAuth - 史上最全的整合第三方登录的开源库
  • Netnr.Login - 第三方 OAuth2 授权登录管理
  • keycloak - 是一个免费、开源身份认证和访问管理系统
  • SD.IdentitySystem - 统一身份认证/权限管理/角色管理/菜单管理/SSO/License授权
  • IdentityServer4 - 基于.NET 5+IdentityServer4+Vue+Sqlserver 的统一授权认证系统
  • cas - 是一个开源的企业级单点登录系统

2）Apereo CAS系统：

Apereo CAS是一个开源的企业级单点登录系统，是CAS项目的一部分。Apereo CAS开箱即用，并且提供多种协议支持，如：CAS（v1，v2和v3）、SAML（1.0和2.0）、OAuth（v2）、OpenID、OpenID Connect等，Apereo CAS支持使用多种身份证方法，包括：JAAS、LDAP、RDBMS、Radius、JWT等。Apereo CAS支持通过Due、YubiKey、RSA、Google Authenticator、U2F、WebAuten等进行身份验证。
在这里插入图片描述

相关资源：Github、官网、文档

1> 架构图
在这里插入图片描述
3）Keycloak

在这里插入图片描述
Keycloak是一个免费、开源身份认证和访问管理系统，支持高度可配置的单点登录（SSO）功能，旨在为现代的应用程序和服务，提供包含身份管理和访问管理功能的单点登录工具。Keycloak内置支持连接到现有的LDAP或Active Directory服务器。也可以自己实现与关系数据库中的用户数据对接。

Keycloak支持许多目前比较流行认证标准协议，如：OpenID Connect，OAuth 2.0、SAML 2.0等。它还支持多平台多种语言：Java、Python、Go、Node.js、Spring、Quarkus ，同时还有 CLI 、SDK 和 RESTful API。

相关资源：GitHUB、官网、

1> 安装

#docker方式部署，完成后，可以访问 http://localhost:8080 进行测试，用户名/密码：admin/admin
docker run -p 8080:8080 -e KEYCLOAK_ADMIN=admin -e KEYCLOAK_ADMIN_PASSWORD=admin -d quay.io/keycloak/keycloak:18.0.0 start-dev

2>配置keycloak

登陆keycloak 管理控制台，创建一个租户：在 keycloak 中，一个 realm 相当于一个租户，它允许创建独立的应用程序和用户组。master 是keycloak 中默认的 realm，master 是专用于管理 keycloak的，不建议用于自己的应用程序。要应用于自己的应用程序时，一般最好建立一个自己指定名称的 realm，在master下面单机 Add realm创建。

在这里插入图片描述
在新创建的 realm 中创建一个user：

在这里插入图片描述
保存成功后，设置初始密码，点击 Credentials，其中Temporary 处点击为 OFF，完成密码重置。

完成后，配置要单点的应用程序。Keycloak管理控制台Clients新建客户端： 用上面Keycloak 实例注册一个应用程序：

3>修改grafana配置：

编辑 /etc/grafana/grafana.ini，修改以下配置：


[server]
root_url = http://localhost:3000/
[auth.generic_oauth]
allow_sign_up = true
api_url = http://localhost:8080/realms/grafana/protocol/openid-connect/userinfo
auth_url = http://localhost:8080/realms/grafana/protocol/openid-connect/auth
client_id = grafana
client_secret = B1dllYApv88FHkkLQDqCwv2aRH5hHwoU
enabled = true
name = grafana
role_attribute_path = role
root_url = http://localhost:3000/
scopes = openid email
token_url = http://localhost:8080/realms/grafana/protocol/openid-connect/token

在 keycloak 中配置好正确的 用户名、密码 后，重新访问 grafana，就可以看到类似如下界面：

在这里插入图片描述
4）nginx密码限制访问

#安装 htpasswd 工具
yum -y install httpd-tools  #或npm install -g htpasswd
#如果报错：“error: unpacking of archive failed on file /usr/bin/xxxx: cpio: open Failed”，请检查/usr/bin目录是否设置特殊权限
chattr -i /usr/bin  #再次安装即可
which htpasswd  #/usr/bin/htpasswd
#htpasswd用法及参数
htpasswd [-cimB25dpsDv] [-C cost] [-r rounds] passwordfile username
htpasswd -b[cmB25dpsDv] [-C cost] [-r rounds] passwordfile username passwordhtpasswd -n[imB25dps] [-C cost] [-r rounds] usernamehtpasswd -nb[mB25dps] [-C cost] [-r rounds] username password-c  Create a new file.-n  Don't update file; display results on stdout.-b  Use the password from the command line rather than prompting for it.-i  Read password from stdin without verification (for script usage).-m  Force MD5 encryption of the password (default).-2  Force SHA-256 crypt() hash of the password (secure).-5  Force SHA-512 crypt() hash of the password (secure).-B  Force bcrypt aencryption of the password (very secure).-C  Set the computing time used for the bcrypt algorithm(higher is more secure but slower, default: 5, valid: 4 to 31).-r  Set the number of rounds used for the SHA-256, SHA-512 algorithms(higher is more secure but slower, default: 5000).-d  Force CRYPT encryption of the password (8 chars max, insecure).-s  Force SHA-1 encryption of the password (insecure).-p  Do not encrypt the password (plaintext, insecure).-D  Delete the specified user.-v  Verify password for the specified user.#创建认证用户 ，会在/etx/nginx/passwd.db文件中生成用户名和加密的密码，格式类似： admin:YlmaHlkJnzhxG
htpasswd -c lip_htpasswd.db admin //输入密码,生成的数据文件建议放入web运行目录，比如nginx配置文件目录下，注意这种交互式输入密码可能会出现配置无效的情况，报错如下：
htpasswd后{"message": "invalid username or password","traceID":""}
#用一下命令重新生成,注意-d采用,因Nginx采用解密，如果不兼容，即使能看到了 Auth 提示,但当输入了正确的密码,也会收到 403或401,500,400等错误。
htpasswd -cbd lip_htpasswd.db admin password #用 crypt()函数加密，但密码不能超狗8位；或
openssl passwd -crypt "password"  #nginx的ngx_http_auth_basic_module可以帮助我们在 http 资源没有任何保护的情况下，添加基础的认证；修改配置，增加： auth_basic 和 auth_basic_user_file 
vim /usr/local/nginx/conf/nginx.conf 
……
server { 
listen 80; 
server_name local.server.com;
#auth_basic "Please input password"; #这里是验证时的提示信息
#auth_basic_user_file /usr/local/nginx/conf/third_htpasswd.db;
location / { root /data/www; #或如下auth_basic "Please input password"; #这里是验证时的提示信息auth_basic_user_file /usr/local/nginx/conf/third_htpasswd.db;index index.html; rewrite ^/$  https://new_uri permanent;} 
location /public {
proxy_buffering on;proxy_buffer_size 4k;proxy_buffers 8 4M;proxy_busy_buffers_size 4M;# websocket处理proxy_http_version 1.1;proxy_set_header Upgrade $http_upgrade;proxy_set_header Connection "upgrade";proxy_set_header X-Real-IP $remote_addr;add_header Access-Control-Allow-Origin *;add_header Access-Control-Allow-Methods GET,POST,OPTIONS;#add_header Access-Control-Allow-Credentials true;proxy_set_header Authorization "Bearer grafana_API_token";auth_basic "Please input password"; #这里是验证时的提示信息auth_basic_user_file third_htpasswd.db;proxy_pass http://grafana_ip:3000;}}
#重启nginx服务 
nginx -s reload#grafana配置调整
sed -i "s/;allow_embedding = false/allow_embedding = true/g" /etc/grafana/grafana.ini 
cat /etc/grafana/grafana.ini  | grep allow_embedding
systemctl restart grafana-server

Grafana配置新增服务账户API：
在这里插入图片描述
在这里插入图片描述

#验证
curl -H "Authorization: Bearer eyJrIjoiRnJjVmNURW1vdnlxQkdOTExqM29DcnJJV3g4TnQ0SEwiLCJuIjoid2Vidmlld2VyIiwiaWQiOjF9" http://grafana_ip:3000/api/dashboards/home
#防火墙
firewall-cmd --permanent --zone=public --remove-port=80/tcp
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address='你的网站ip' port port="80" protocol="tcp" accept'
firewall-cmd --reload
#配置主页，安装插件yesoreyeram-boomtheme-panel
grafana-cli plugins install yesoreyeram-boomtheme-panel  #或
grafana-cli --pluginUrl https://github.com/yesoreyeram/yesoreyeram-boomtheme-panel/releases/download/v0.2.1/yesoreyeram-boomtheme-panel-0.2.1.zip plugins install yesoreyeram-boomtheme-panel
cd /usr/share/grafana/public  #grafana插件位置

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
上面能添加外部CSS地址，地址栏输入：https://github.com/gilbN/theme.park/tree/master/CSS/themes/grafana或https://github.com/GilbN/theme.park/tree/master/css/theme-options就会看到多个CSS：

https://gilbn.github.io/theme.park/CSS/themes/grafana/hotline.css
https://gilbn.github.io/theme.park/CSS/themes/grafana/aquamarine.css
https://gilbn.github.io/theme.park/CSS/themes/grafana/organizr-dark.css
https://gilbn.github.io/theme.park/CSS/themes/grafana/organizr-dashboard.css
https://gilbn.github.io/theme.park/CSS/themes/grafana/plex.css
https://gilbn.github.io/theme.park/CSS/themes/grafana/space-gray.css

在这里插入图片描述

#优化css加载速度
wget https://gilbn.github.io/theme.park/CSS/themes/grafana/hotline.css
然后重新配置grafana的CSS，修改成本地的地址，比如：/public/css/hotline.css

在这里插入图片描述

三、SSO服务器配置

1）应用场景一

四、附录

4.1、常见文件属性回顾

属性说明
i对文件设置i属性，不允许对文件进行删除、重命名，也不能添加和修改数据。
对目录设置i属性，只能修改目录下文件中的数据，但不允许新建和删除文件。文件权限中，大写的 I 表示不可变属性，而小写的 i 表示不可变文件。不可变属性仅保护文件的特定属性，而不可变文件保护整个文件。其中，不可变文件是不可变属性的一种更严格的形式。
a对文件设置a属性，只能在文件中新增数据，但是不能删除和修改数据。
对目录设置a属性，只能在目录中新增和修改文件，但是不允许删除文件。
u对文件或目录设置u属性，在删除时，其内容会被保存，以保证后期能够恢复，一般用来防止意外删除文件或目录。
s对文件或目录设置s属性，在删除文件或目录时，会被彻底删除，不可恢复。
eLinux中绝大多数的文件都默认拥有e属性，表示该文件是使用ext文件系统进行存储的。
大写i标记文件或目录的某些属性为不可变，防止意外更改。仅当文件或目录的所属用户具有超级用户权限时，才能更改不可变属性。典型的不可变属性包括：a（存档位）c（压缩位）t（尾部锁定位）S（安全不可变位）
tt设置粘着位，一般针对权限是777的文件夹设置权限。如果文件设置了t权限则只有属主和root有删除文件的权限；777的目录设置t权限，索引用户可以在这个目录下面创建文件和删除自己创建的文件，删除其他人创建的文件权限不被允许（比如共享目录）
操作符+：为文件或目录添加属性；-：移除文件或目录已有的某些属性；=：为文件或目录设定一些属性。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/787944.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

6.8物联网RK3399项目开发实录-驱动开发之RTC实时时钟的使用（wulianjishu666）

6.8物联网RK3399项目开发实录-驱动开发之RTC实时时钟的使用（wulianjishu666）

90款行业常用传感器单片机程序及资料【stm32,stc89c52,arduino适用】 链接：https://pan.baidu.com/s/1M3u8lcznKuXfN8NRoLYtTA?pwdc53f RTC 使用 简介 AIO-3399J 开发板上有 一个集成于 RK808 上的RTC(Real Time Clock)，主要功能有时钟&#xff0c…
阅读更多...
【PowerDesigner】PGSQL反向工程过程已中断

【PowerDesigner】PGSQL反向工程过程已中断

问题 反向工程过程已中断,原因是某些字符无法通过ANSI–＞UTF-16转换进行映射。pg导入sql时报错，一查询是power designer 反向工程过程已中断，某些字符无法通过ANSI–>UTF-16转换进行映射（会导致数据丢失） 处理 注…
阅读更多...
代码随想录第28天| 131.分割回文串 93.复原IP地址 78.子集

代码随想录第28天| 131.分割回文串 93.复原IP地址 78.子集

131.分割回文串 131. 分割回文串 - 力扣（LeetCode） 代码随想录 (programmercarl.com) 带你学透回溯算法-分割回文串（对应力扣题目：131.分割回文串）| 回溯法精讲！_哔哩哔哩_bilibili 给你一个字符串 s&…
阅读更多...
连接Redis不支持集群错误，ERR This instance has cluster support disabled，解决方案

连接Redis不支持集群错误，ERR This instance has cluster support disabled，解决方案

1. 问题背景 调整redis的配置后，启动程序时， 会报如下错误： [redis://172.16.0.8xxx]: ERR This instance has cluster support disabledSuppressed: io.lettuce.core.RedisCommandExecutionException: ERR This instance has cluster supp…
阅读更多...
苹果安卓双端短视频直播系统源码，带后台-支持二开和采集

苹果安卓双端短视频直播系统源码，带后台-支持二开和采集

搭建教程 1.PHP5.6-7.2 mysql 5.6 redis5.0 nginx1.15 2.宝塔就完全满足了 我刚开了台服务器，建议用阿里云的 我这个是腾讯云 先让服务器 自己装着 时间比较长 3.搭建前需要准备的东西 腾讯云直播、七牛存储、百度语音、腾讯地图等好多东西 七牛存储…
阅读更多...
Micron FY24 Q2业绩强劲，凭内存实现翻盘

Micron FY24 Q2业绩强劲，凭内存实现翻盘

根据TechInsights数据显示，美光科技24财年第二季度业绩强劲，公司通过技术创新和产能优化，成功抓住了AI服务器和其他高性能应用带来的市场需求增长机遇。尽管短期内面临供应紧张的问题，但美光通过加大研发投入和产能转换力度&#…
阅读更多...
Leetcode 322. 零钱兑换

Leetcode 322. 零钱兑换

心路历程： 这道题和上一道完全平方数的和基本上一摸一样，甚至比上一道题还简单，基于dp的建模： 状态：当前的目标总金额 动作：选哪一个硬币 返回值：凑成该目标总金额的最少硬币个数 这道题如果硬…
阅读更多...
MATLAB科研绘图与学术图表绘制从入门到精通

MATLAB科研绘图与学术图表绘制从入门到精通

💂 个人网站:【 摸鱼游戏】【神级代码资源网站】【工具大全】🤟 一站式轻松构建小程序、Web网站、移动应用：👉注册地址🤟 基于Web端打造的：👉轻量化工具创作平台💅 想寻找共同学习交…
阅读更多...
二轮电动自行车充电桩开源系统

二轮电动自行车充电桩开源系统

文章目录 一、产品功能部分截图1.手机端（小程序、安卓、ios）2.PC端 二、小程序体验账号以及PC后台体验账号1.小程序体验账号2.PC后台体验账号关注公众号获取最新资讯 三、产品简介？1. 充电桩云平台（含硬件充电桩）&…
阅读更多...
【xinference】（8）：在autodl上，使用xinference部署qwen1.5大模型，速度特别快，同时还支持函数调用，测试成功！

【xinference】（8）：在autodl上，使用xinference部署qwen1.5大模型，速度特别快，同时还支持函数调用，测试成功！

1，关于xinference Xorbits Inference (Xinference) 是一个开源平台，用于简化各种 AI 模型的运行和集成。借助 Xinference，您可以使用任何开源 LLM、嵌入模型和多模态模型在云端或本地环境中运行推理，并创建强大的 AI 应用。 Xor…
阅读更多...
互联网、因特网、万维网的区别

互联网、因特网、万维网的区别

互联网 internet：凡是能彼此通信的设备组成的网络就叫互联网，即使只有两台计算机，无论以何种技术使其彼此通信，都叫互联网。所以，根据互联网的覆盖规模可以分为： 局域网（Local Area Network&am…
阅读更多...
初学者必看！Python wtforms库让你轻松创建和验证Web表单

初学者必看！Python wtforms库让你轻松创建和验证Web表单

1. 什么是WTForms 库? WTForms 是一个 Python 库，用于在 Web 应用程序中创建和验证表单。它提供了一个简单的接口来定义表单字段和验证规则，并将它们呈现为 HTML 表单。WTForms 支持多种 Web 框架，包括 Flask、Django 和 Pyramid。 2. 核心…
阅读更多...
NSSCTF Round#20 Basic 真亦假，假亦真 CSDN_To_PDF V1.2 出题笔记 （附wp+源码）

NSSCTF Round#20 Basic 真亦假，假亦真 CSDN_To_PDF V1.2 出题笔记 （附wp+源码）

真亦假&#xff0c;假亦真 简介&#xff1a;java伪造php一句话马。实则信息泄露一扫就出&#xff0c;flag在/flag里面。 题目描述&#xff1a;开开心心签个到吧&#xff0c;祝各位师傅们好运~ 静态flag&#xff1a;NSS{Checkin_h4v3_4_g00D_tINNe!} /路由显示 <?php e…
阅读更多...
【MyBatis】MyBatis的日志实现

【MyBatis】MyBatis的日志实现

目录 一、日志演变 二、MyBatis中实现日志管理 1.导入pom依赖 2.添加logback配置文件 3.日志打印 三、MyBatis日志技术实现原理 3.1 初始化 3.2 具体实现类 3.3 自己模拟实现mybaits的日志实现 四、架构系统如何考虑日志 一、日志演变 JDK 1.4之前 没有任何的日志框…
阅读更多...
vue 移动端弹窗带滚动效果 滚动到底的时候弹窗下的页面会跟着滑动

vue 移动端弹窗带滚动效果 滚动到底的时候弹窗下的页面会跟着滑动

<template><div class"wrap" :style"dynamicStyle"><!--dynamicStyle主要是介个 通过computed设置postion的值 弹窗的时候设置为fixed 关闭弹窗的时候设置为unset--><div class"banner-wrap"><img src"/assets/…
阅读更多...
16.Python多线程

16.Python多线程

如果想让我们的程序同时执行多个任务&#xff0c;就需要使用多线程技术了 。到目前为止&#xff0c;我们编写的程序都是单线程的&#xff0c;在运行时一次只能执行 一个任务。 1 线程相关的知识 1.1 进程 一个进程就是一个正在执行的程序&#xff0c;每一个进程都有自己独立…
阅读更多...
sklearn主成分分析PCA

sklearn主成分分析PCA

文章目录 基本原理PCA类图像降维与恢复 基本原理 PCA&#xff0c;即主成分分析(Principal components analysis)&#xff0c;顾名思义就是把矩阵分解成简单的组分进行研究&#xff0c;而拆解矩阵的主要工具是线性变换&#xff0c;具体形式则是奇异值分解。 设有 m m m个 n n …
阅读更多...
Rust---有关介绍

Rust---有关介绍

目录 Rust---有关介绍变量的操作Rust 数值库&#xff1a;num某些基础数据类型序列(Range)字符类型单元类型 发散函数表达式&#xff08;&#xff01; 语句&#xff09; Rust—有关介绍 得益于各种零开销抽象、深入到底层的优化潜力、优质的标准库和第三方库实现&#xff0c;Ru…
阅读更多...
蚁剑流量分析

蚁剑流量分析

蚁剑流量分析 在靶机上面上传一个一句话木马&#xff0c;并使用蚁剑连接&#xff0c;进行抓包, 一句话木马内容 <?php eval($_POST[1]); defalut编码器 在使用蚁剑连接的时候使用default编码器 连接之后进行的操作行为是查看当前目录(/var/www/html)下的文件&#xff0…
阅读更多...
数据结构进阶篇 之 【插入排序】详细讲解（直接插入排序，希尔排序）

数据结构进阶篇 之 【插入排序】详细讲解（直接插入排序，希尔排序）

千万不要因为一件事不会做而失去信心&#xff0c;你又不是只有这一件事不会&#xff0c;你还有很多呢 一、插入排序 1.直接插入排序 InsertSort 1.1 基本思想 1.2 实现原理 1.3 代码实现 1.4 直接插入排序的特性总结 2.希尔排序 ShellSort 2.1 基本思想 2.2 实现原理 …
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023