Nginx - 卫方智能网络安全资讯平台

Nginx mTLS 双向认证实战：客户端证书验证配置

2026年9月3日作者卫方智能

Nginx mTLS 双向认证实战教程：自建 CA、签发客户端证书、配置 ssl_verify_client 强制校验，含完整 OpenSSL 命令、curl 验证与证书吊销方案。

2026年9月3日作者卫方智能

F5 披露 NGINX JavaScript（njs）XML 模块越界写入漏洞 CVE-2026-78689，未认证远程攻击者可致 worker 崩溃或内存增长，官方 nginx-saml 参考实现受影响。

2026年9月2日作者卫方智能

Nginx GeoIP 地域限制实战：基于 GeoLite2 数据库按国家拦截境外恶意流量，涵盖模块安装、CDN 场景真实 IP 还原、数据库自动更新与搜索引擎蜘蛛误拦处理。

2026年9月2日作者卫方智能

Nginx 敏感文件泄露防护实战配置：拦截 .git、.env、备份压缩包等高危路径，保留 .well-known 证书验证路径，附访问日志排查方法与泄露后凭据轮换应急流程。

2026年8月27日作者卫方智能

OpenSSL 项目组于 2026 年 8 月 25 日集中发布安全公告，一次性修复 9 处漏洞，其中 2 个 “中危（Moderate）”、7 个 “低危（Low）”，影响 QUIC、DTLS、CMS、CMP 等主流加密协议栈。虽然官方确认这些漏洞都不可能导致远程代码执行，但堆破坏、空指针解引用

2026年8月22日作者卫方智能

从 TLS 1.0/1.1 协议漏洞到 RC4、3DES 弱密码套件，本文讲解 Nginx 下 TLS 协议安全加固的完整配置：ssl_protocols、ssl_ciphers、会话票据等关键参数逐项说明，附 OpenSSL 实测验证方法，助你彻底禁用弱加密算法。

2026年8月19日作者卫方智能

HTTP 请求走私利用前后端对请求解析的差异绕过 WAF 与访问控制，危害巨大。本文从 CL.TE 与 TE.CL 两种走私原理出发，给出 Nginx 反向代理侧的完整加固配置与验证方法，帮助运维和开发人员系统防御请求走私攻击。

2026年8月8日作者卫方智能

在 Nginx 上集成 ModSecurity 开源 WAF 与 OWASP CRS 核心规则集，实现 SQL 注入、XSS、命令注入等 Web 攻击的自动化拦截，附完整配置、规则调优与验证命令。

2026年8月7日作者卫方智能

使用 Certbot 免费签发 Let’s Encrypt 证书，完成 Nginx 自动配置 HTTPS 与定时自动续期，实现证书生命周期零人工干预，附验证命令与常见错误处理。

2026年8月1日作者卫方智能

通过 Nginx map+if 实现恶意 User-Agent 黑名单拦截，覆盖 sqlmap、爬虫、扫描器等常见 UA，命中直接返回 403 且不消耗业务资源，附完整配置、验证命令与限频兜底方案。

2026年7月30日作者卫方智能

HTTP 洪水攻击通过大量看似正常的 HTTP 请求耗尽服务器资源。本文详解如何利用 Nginx limit_req、limit_conn、连接限制及 UA 过滤进行多层防御，并分享基于 access.log 的攻击特征识别脚本。

2026年7月30日作者卫方智能

SSRF（服务端请求伪造）是企业 Web 应用最常见的严重漏洞之一。本文从原理出发，详解 URL 白名单、内网 IP 过滤、DNS 解析校验、HTTP 重定向拦截及 Nginx WAF 规则配置等完整防护方案。