- Ein Tool, das NGINX-Konfigurationen analysiert und Sicherheitslücken aufspürt
- Ziel ist es, Fehler in Sicherheitskonfigurationen zu verhindern und Schwachstellen automatisch zu erkennen
- Ein aktiv gepflegter Fork des ursprünglichen Gixy von Yandex (seit 2 Jahren ohne Commits)
Probleme, die Gixy erkennen kann
- SSRF (Server Side Request Forgery): Möglichkeit von serverseitigen Request-Forgery-Angriffen
- HTTP Splitting: Möglichkeit von HTTP-Response-Splitting-Angriffen
- Probleme bei der Referrer-/Origin-Prüfung: Sicherheitslücken durch unvollständige Validierung
- Überschreiben von
add_header: Probleme durch das Überschreiben von Response-Headern
- Spoofing des Host-Headers: Möglichkeit zur Fälschung des
Host-Headers einer Anfrage
- Fehlkonfiguration von
valid_referers: Sicherheitsprobleme durch das Zulassen des Werts none
- Mehrzeilige Response-Header: Sicherheitsprobleme durch mehrzeilige Response-Header
- Pfad-Traversal durch Alias-Fehlkonfiguration: Möglichkeit zum Verzeichnisausbruch durch falsche
alias-Einstellungen
- Probleme bei der Verwendung von
if-Anweisungen: Unerwartetes Verhalten durch die Verwendung von if innerhalb von location-Blöcken
- Fehlerhafte
allow-Einstellungen: Probleme, wenn bei allow die passende deny-Konfiguration fehlt
- Probleme mit der Content-Type-Konfiguration: Schwierigkeiten, wenn Content-Type mit
add_header gesetzt wird
- Probleme bei der Verwendung externer DNS: Unsichere DNS-Konfigurationen
- Offenlegung von Versionsinformationen: Preisgabe von Versionsinformationen über die Einstellung
server_tokens
- Probleme mit der
try_files-Konfiguration: Sicherheitsprobleme bei der Verwendung von try_files ohne open_file_cache
- Probleme bei der Pfad-Dekodierung in
proxy_pass: URL-Pfade werden automatisch dekodiert und normalisiert
Verwendung
- Standardmäßig versucht Gixy, die NGINX-Konfiguration in
/etc/nginx/nginx.conf zu analysieren
- Es kann auch ein bestimmter Pfad angegeben werden
- Zum Beispiel, um eine HTTP-Splitting-Schwachstelle zu finden
- Gixy kann auch mit einer Pipe (Standardeingabe) verwendet werden
- Es wird auch als Docker-Image bereitgestellt
- Die zu analysierende Konfiguration muss als Volume gemountet werden, und beim Start des Gixy-Images muss der Pfad zur Konfigurationsdatei angegeben werden
Noch keine Kommentare.