Gixy-Next: NGINX-Konfigurations-Sicherheitsscanner für Sicherheitsaudits

Überblick

Gixy-Next (Gixy) ist ein Open-Source-Sicherheitsscanner und Härtungswerkzeug für NGINX-Konfigurationen, das Ihre nginx.conf statisch analysiert, um Sicherheitsfehlkonfigurationen, Härtungslücken und gängige Performance-Fallstricke zu erkennen, bevor sie in die Produktion gelangen. Es ist ein aktiv gepflegter Fork von Yandex' Gixy. Der Quellcode von Gixy-Next ist auf GitHub verfügbar.

Gixy-Next kann auch im Browser auf dieser Seite ausgeführt werden. Kein Download erforderlich; Sie können Ihre Konfigurationen auf der Website scannen (lokal, mittels WebAssembly).

Schnellstart

Gixy-Next (die CLI gixy oder gixy-next) wird auf PyPI vertrieben. Sie können es mit pip oder uv installieren:

# pip
pip3 install gixy-next
# uv
uv pip install gixy-next

Du kannst es dann ausführen:

# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf

Sie können Ihre NGINX-Konfiguration auch in eine einzelne Dump-Datei exportieren (siehe nginx -T Live Configuration Dump):

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -

Webbasierter Scanner

Anstatt Gixy-Next lokal herunterzuladen und auszuführen, können Sie diese Webseite verwenden und eine Konfiguration direkt in Ihrem Webbrowser scannen (lokal, mittels WebAssembly).

Scannen mit Docker

Gixy-Next ist als Docker-Image auf Docker Hub oder in der GitHub Registry verfügbar.

Scannen Sie eine lokale Konfigurationsdatei, indem Sie sie in den Container einbinden:

# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf

Scannen Sie einen NGINX-Live-Konfigurationsdump:

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf

Scan von stdin:

# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -

Was es leisten kann

Gixy-Next kann eine breite Palette von NGINX-Sicherheits- und Leistungsfehlkonfigurationen in nginx.conf und eingebundenen Konfigurationsdateien erkennen. Die folgenden Plugins werden unterstützt: