Nginx如何彻底防御目录遍历攻击？这五个配置技巧必须掌握

为什么你的Nginx配置总是存在目录泄露风险？

2023年Sucuri安全报告显示，34.7%的Web服务器攻击通过目录遍历实现，攻击者利用错误配置的autoindex模块获取敏感文件路径。某知名电商平台曾因未禁用目录列表功能，导致客户数据库被非法下载。

紧急防护：立即关闭危险配置

在nginx.conf中全局禁用目录索引：

location / {
  autoindex off;
  index index.;
}

建议配合nginx -t测试配置后，通过systemctl reload nginx生效。九零云安全检测工具可自动识别此类风险配置。

深度防御：三层过滤机制实战

• 请求路径过滤：

  if ($request_uri ~ "..") { return 403; }

• 文件类型限制：

  location ~ .(conf|key)$ { deny all; }

• 访问日志监控：

  log_format security '$time_iso8601 $http_host $request_uri';

进阶方案：动态鉴权与WAF联动

通过lua脚本实现动态访问控制：

access_by_lua_block {
  if ngx.var.uri:find("%.%.") then
    ngx.exit(ngx.HTTP_FORBIDDEN)
  end
}

建议配合ModSecurity规则集，九零云WAF方案已内置200+条目录防护规则。

企业级防护：全链路监控体系