Nginx中防止SQL注入攻击的相关配置介绍

防止sql注入最好的办法是对于提交后台的所有数据都进行过滤转义。

对于简单的情况，比如包含单引号' , 分号;, <, >, 等字符可通过rewrite直接重订向到404页面来避免。

用rewrite有个前提需要知道，一般用rewrite进行正则匹配只能匹配到网页的uri，也就是url中?前部分，?以后部分是请求参数。

问号后面的请求参数，在nginx用$query_string表 示，不能在rewrite中匹配到，需要用if判断

例如，对于参数中带有单引号的'进行匹配然后定向到错误页面，

/plus/list.php?tid=19&mid=1124'

rewrite ^.*([;'<>]).* /error.html break;

直接写这样的一条重写肯定不会正确匹配，因为rewrite参数只会匹配请求的uri，也就是/plus/list.php部分。

需要使用$query_string 借助if进行判断，如果查询串种包含特殊字符，返回404。

if ( $query_string ~* ".*[;'<>].*" ){
return 404;
}

下面来分享一个配置文件实例：

server {
## 禁sql注入 block sql injections
set $block_sql_injections 0;
if ($query_string ~ “union.*select.*(“) {
set $block_sql_injections 1;
}
if ($query_string ~ “union.*all.*select.*”) {
set $block_sql_injections 1;
}
if ($query_string ~ “concat.*(“) {
set $block_sql_injections 1;
}
if ($block_sql_injections = 1) {
return 444;
}
## 禁掉文件注入
set $block_file_injections 0;
if ($query_string ~ “[a-za-z0-9_]=http://”) {
set $block_file_injections 1;
}
if ($query_string ~ “[a-za-z0-9_]=(..//?)+”) {
set $block_file_injections 1;
}
if ($query_string ~ “[a-za-z0-9_]=/([a-z0-9_.]//?)+”) {
set $block_file_injections 1;
}
if ($block_file_injections = 1) {
return 444;
}
## 禁掉溢出攻击
set $block_common_exploits 0;
if ($query_string ~ “(<|%3c).*script.*(>|%3e)”) {
set $block_common_exploits 1;
}
if ($query_string ~ “globals(=|[|%[0-9a-z]{0,2})”) {
set $block_common_exploits 1;
}
if ($query_string ~ “_request(=|[|%[0-9a-z]{0,2})”) {
set $block_common_exploits 1;
}
if ($query_string ~ “proc/self/environ”) {
set $block_common_exploits 1;
}
if ($query_string ~ “mosconfig_[a-za-z_]{1,21}(=|%3d)”) {
set $block_common_exploits 1;
}
if ($query_string ~ “base64_(en|de)code(.*)”) {
set $block_common_exploits 1;
}
if ($block_common_exploits = 1) {
return 444;
}
## 禁spam字段
set $block_spam 0;
if ($query_string ~ “b(ultram|unicauca|valium|viagra|vicodin|xanax|ypxaieo)b”) {
set $block_spam 1;
}
if ($query_string ~ “b(erections|hoodia|huronriveracres|impotence|levitra|libido)b”) {
set $block_spam 1;
}
if ($query_string ~ “b(ambien|bluespill|cialis|cocaine|ejaculation|erectile)b”) {
set $block_spam 1;
}
if ($query_string ~ “b(lipitor|phentermin|pro[sz]ac|sandyauer|tramadol|troyhamby)b”) {
set $block_spam 1;
}
if ($block_spam = 1) {
return 444;
}
## 禁掉user-agents
set $block_user_agents 0;
# don't disable wget if you need it to run cron jobs!
#if ($http_user_agent ~ “wget”) {
# set $block_user_agents 1;
#}
# disable akeeba remote control 2.5 and earlier
if ($http_user_agent ~ “indy library”) {
set $block_user_agents 1;
}
# common bandwidth hoggers and hacking tools.
if ($http_user_agent ~ “libwww-perl”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “getright”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “getweb!”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “go!zilla”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “download demon”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “go-ahead-got-it”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “turnitinbot”) {
set $block_user_agents 1;
}
if ($http_user_agent ~ “grabnet”) {
set $block_user_agents 1;
}
  if ($http_user_agent ~ "webbench") {
    set $block_user_agents 1;
  }
  if ($http_user_agent ~ "apachebench") {
    set $block_user_agents 1;
  }
  if ($http_user_agent ~ ^$) {
    set $block_user_agents 1;
  }
  if ($http_user_agent ~ "python-urllib") {
    set $block_user_agents 1;
  }
if ($block_user_agents = 1) {
return 444;
}
}