nginx 域名访问限制不严格, 已经返回了 403 还是提示安全问题。

› NGINX

› NGINX Trac

› 3rd Party Modules

› Security Advisories

› CHANGES

› OpenResty

› ngx_lua

› Tengine

在线学习资源

› NGINX 开发从入门到精通

NGINX Modules

› ngx_echo

This topic created in 1722 days ago, the information mentioned may be changed or developed.

项目使用的 nginx ,需要通过三方的安全检测，有个漏洞是域名访问限制不严格，目前已经按照网上的解决方式返回了状态码 403，请问大家有遇到类似问题的？

server { listen 80 default; server_name _; return 403; }

Nginx

域名

default

listen

6 replies • 2021-09-23 21:46:00 +08:00

doveyoung

Sep 22, 2021

https 443 改了吗
不清楚是哪里提示的安全问题，第三方检测机构吗？他们应该会告诉你怎么改，按要求操作就行。
你上面发的那个理论上是可以的，你有没有测试一下生效没？

huangzxx

Sep 22, 2021

贴一个我的，供参考

server {
listen 80 default_server;
listen [::]:80 default_server;
server_name _;
return 444;
}

server {
listen 443 default_server ssl http2;
listen [::]:443 default_server ssl http2;
server_name _;

include ssl/ssl_xxx.com.conf;

location / {
return 444;
}
}

xiaowei0823

Sep 22, 2021 via iPhone

返回 200，自定义 code 码

cxh116

Sep 22, 2021 via Android

楼上已经给了示例了，是 default_server，不是 default 。改好后，本地改 hosts 文件，随便指定一个域名绑定到你的主机 ip 上，然后用域名访问看看是不是返回 403

ysc3839

Sep 23, 2021 via Android

@huangzxx https 可以考虑使用 ssl_reject_handshake
https://kn007.net/topics/nginx-1-19-4-new-feature-recommendation/

huangzxx

Sep 23, 2021

@ysc3839 多谢分享