高防服务器

Nginx如何防盗链


Nginx如何防盗链

发布时间:2021-12-10 16:09:32 来源:高防服务器网 阅读:83 作者:iii 栏目:安全技术

这篇文章主要介绍“Nginx如何防盗链”,在日常操作中,相信很多人在Nginx如何防盗链问题上存在疑惑,小编查阅了各式资料,整理出简单好用的操作方法,希望对大家解答”Nginx如何防盗链”的疑惑有所帮助!接下来,请跟着小编一起来学习吧!

简单有效的防盗链手段

场景

如果做过个人站点的同学,可能会遇到别人盗用自己站点资源链接的情况,这就是盗链。说到盗链就要说一个 HTTP 协议的 头部,referer 头部。当其他网站通过 URL 引用了你的页面,用户在浏览器上点击 URL 时,HTTP 请求的头部会通过 referer 头部将该网站当前页面的 URL 带上,告诉服务器本次请求是由谁发起的。

例如,在谷歌中搜索 Nginx 然后点击链接:

<img src="https://s3plus.meituan.net/v1/mss_f32142e8d47149129e9550e929704625/yzz-test-image/20200614144801.229887" />

在打开的新页面中查看请求头会发现,请求头中包含了 referer 头部且值是 https://www.google.com/ 。

<img src="https://s3plus.meituan.net/v1/mss_f32142e8d47149129e9550e929704625/yzz-test-image/20200614143843.338211" />

像谷歌这种我们是允许的,但是有一些其他的网站想要引用我们自己网站的资源时,就需要做一些管控了,不然岂不是谁都可以拿到链接。

目的

这里目的其实已经很明确了,就是要拒绝非正常的网站访问我们站点的资源。

思路

  • invalid_referer 变量

    • referer 提供了这个变量,可以用来配置哪些 referer 头部合法,也就是,你允许哪些网站引用你的资源。

referer 模块

要实现上面的目的,referer 模块可得算头一号,一起看下 referer 模块怎么用的。

  • 默认编译进 Nginx,通过 --without-http_referer_module 禁用

referer 模块有三个指令,下面看一下。

Syntax: valid_referers none | blocked | server_names | string ...; Default: &mdash; Context: server, location  Syntax: referer_hash_bucket_size size; Default: referer_hash_bucket_size 64;  Context: server, location  Syntax: referer_hash_max_size size; Default: referer_hash_max_size 2048;  Context: server, location
valid_referers referer_hash_bucket_size referer_hash_max_size

这里面最重要的是 valid_referers 指令,需要重点来说明一下。

valid_referers 指令

可以同时携带多个参数,表示多个 referer 头部都生效。

参数值
  • none

    • 允许缺失 referer 头部的请求访问

  • block:允许 referer 头部没有对应的值的请求访问。例如可能经过了反向代理或者防火墙

  • server_names:若 referer 中站点域名与 server_name 中本机域名某个匹配,则允许该请求访问

  • string:表示域名及 URL 的字符串,对域名可在前缀或者后缀中含有 * 通配符,若 referer 头部的值匹配字符串后,则允许访问

  • 正则表达式:若 referer 头部的值匹配上了正则,就允许访问

invalid_referer 变量
  • 允许访问时变量值为空

  • 不允许访问时变量值为 1

实战

下面来看一个配置文件。

server {     server_name referer.ziyang.com;     listen 80;      error_log logs/myerror.log debug;     root html;     location /{         valid_referers none blocked server_names                        *.ziyang.com www.ziyang.org.cn/nginx/                        ~.google.;         if ($invalid_referer) {                 return 403;         }         return 200 'validn';     } }

那么对于这个配置文件而言,以下哪些请求会被拒绝呢?

curl -H 'referer: http://www.ziyang.org.cn/ttt' referer.ziyang.com/ curl -H 'referer: http://www.ziyang.com/ttt' referer.ziyang.com/ curl -H 'referer: ' referer.ziyang.com/ curl referer.ziyang.com/ curl -H 'referer: http://www.ziyang.com' referer.ziyang.com/ curl -H 'referer: http://referer.ziyang.com' referer.ziyang.com/ curl -H 'referer: http://image.baidu.com/search/detail' referer.ziyang.com/ curl -H 'referer: http://image.google.com/search/detail' referer.ziyang.com/

我们需要先来解析一下这个配置文件。 valid_referers 指令配置了哪些值呢?

valid_referers none blocked server_names         *.ziyang.com www.ziyang.org.cn/nginx/         ~.google.;
  • none:表示没有 referer 的可以访问

  • blocked:表示 referer 没有值的可以访问

  • server_names:表示本机 server_name 也就是 referer.ziyang.com 可以访问

  • *.ziyang.com:匹配上了正则的可以访问

  • www.ziyang.org.cn/nginx/:该页面发起的请求可以访问

  • ~.google.:google 前后都是正则匹配

下面就实际看下响应:

# 返回 403,没有匹配到任何规则 ➜  ~ curl -H 'referer: http://www.ziyang.org.cn/ttt' referer.ziyang.com/ <html> <head><title>403 Forbidden</title></head> <body> <center><h2>403 Forbidden</h2></center> <hr><center>nginx/1.17.8</center> </body> </html> ➜  ~ curl -H 'referer: http://image.baidu.com/search/detail' referer.ziyang.com/ <html> <head><title>403 Forbidden</title></head> <body> <center><h2>403 Forbidden</h2></center> <hr><center>nginx/1.17.8</center> </body> </html> # 匹配到了 *.ziyang.com ➜  ~ curl -H 'referer: http://www.ziyang.com/ttt' referer.ziyang.com/ valid ➜  ~ curl -H 'referer: http://www.ziyang.com' referer.ziyang.com/ valid # 匹配到了 server name ➜  ~ curl -H 'referer: http://referer.ziyang.com' referer.ziyang.com/ valid # 匹配到了 blocked ➜  ~ curl -H 'referer: ' referer.ziyang.com/ valid # 匹配到了 none ➜  ~ curl referer.ziyang.com/ valid # 匹配到了 ~.google. ➜  ~ curl -H 'referer: http://image.google.com/search/detail' referer.ziyang.com/ valid

防盗链另外一种解决方案:secure_link 模块

referer 模块是一种简单的防盗链手段,必须依赖浏览器发起请求才会有效,如果攻击者伪造 referer 头部的话,这种方式就失效了。

secure_link 模块是另外一种解决的方案。

它的主要原理是,通过验证 URL 中哈希值的方式防盗链。

基本过程是这个样子的:

  • 由服务器(可以是 Nginx,也可以是其他 Web 服务器)生成加密的安全链接 URL,返回给客户端

  • 客户端使用安全 URL 访问 Nginx,由 Nginx 的 secure_link 变量验证是否通过

原理如下:

  • 哈希算法是不可逆的

  • 客户端只能拿到执行过哈希算法的 URL

  • 仅生成 URL 的服务器,验证 URL 是否安全的 Nginx,这两者才保存原始的字符串

  • 原始字符串通常由以下部分有序组成:

    • 资源位置。如 HTTP 中指定资源的 URI,防止攻击者拿到一个安全 URI 后可以访问任意资源

    • 用户信息。如用户的 IP 地址,限制其他用户盗用 URL

    • 时间戳。使安全 URL 及时过期

    • 密钥。仅服务器端拥有,增加攻击者猜测出原始字符串的难度

模块:

  • ngx_http_secure_link_module

    • 未编译进 Nginx,需要通过 –with-http_secure_link_module 添加

  • 变量

    • secure_link

    • secure_link_expires

Syntax: secure_link expression; Default: &mdash; Context: http, server, location  Syntax: secure_link_md5 expression; Default: &mdash; Context: http, server, location  Syntax: secure_link_secret word; Default: &mdash; Context: location

变量值及带过期时间的配置示例

  • secure_link

    • 值为空字符串:验证不通过

    • 值为 0:URL 过期

    • 值为 1:验证通过

  • secure_link_expires

    • 时间戳的值

命令行生成安全链接
  • 生成 md5

echo -n '时间戳URL客户端IP密钥' | openssl md5 -binary | openssl base64 | tr +/ - | tr -d =
  • 构造请求 URL

/test1.txt?md5=md5生成值&expires=时间戳(如 2147483647)
Nginx 配置
  • secure_link &dollar;arg_md5,$arg_expires;

    • secure_link 后面必须跟两个值,一个是参数中的 md5,一个是时间戳

  • secure_link_md5 "&amp;dollar;secure_link_expires&dollar;uri&dollar;remote_addr secret";

    • 按照什么样的顺序构造原始字符串

实战

下面是一个实际的配置文件,我这里就不做演示了,感兴趣的可以自己做下实验。

server {     server_name securelink.ziyang.com;     listen 80;     error_log  logs/myerror.log  info;     default_type text/plain;     location /{         secure_link $arg_md5,$arg_expires;         secure_link_md5 "$secure_link_expires$uri$remote_addr secret";          if ($secure_link = "") {             return 403;         }          if ($secure_link = "0") {             return 410;         }          return 200 '$secure_link:$secure_link_expiresn';     }      location /p/ {         secure_link_secret mysecret2;          if ($secure_link = "") {             return 403;         }          rewrite ^ /secure/$secure_link;     }      location /secure/ {         alias html/;         internal;     } }

仅对 URI 进行哈希的简单办法

除了上面这种相对复杂的方式防盗链,还有一种相对简单的防盗链方式,就是只对 URI 进行哈希,这样当 URI 传

secure_link_secret secret;
命令行生成安全链接
  • 原请求

    • link

  • 生成的安全请求

    • /prefix/md5/link

  • 生成 md5

    • echo -n 'linksecret' | openssl md5 &ndash;hex

Nginx 配置
  • secure_link_secret secret;

这个防盗链的方法比较简单,那么具体是怎么用呢?大家都在网上下载过资源对吧,不管是电子书还是软件,很多网站你点击下载的时候往往会弹出另外一个页面去下载,这个新的页面其实就是请求的 Nginx 生成的安全 URL。如果这个 URL 被拿到的话,其实还是可以用的,所以需要经常的更新密钥来确保 URL 不会被盗用。

到此,关于“Nginx如何防盗链”的学习就结束了,希望能够解决大家的疑惑。理论与实践的搭配能更好的帮助大家学习,快去试试吧!若想继续学习更多相关知识,请继续关注高防服务器网网站,小编会继续努力为大家带来更多实用的文章!

[微信提示:高防服务器能助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。

[图文来源于网络,不代表本站立场,如有侵权,请联系高防服务器网删除]
[