megamansec/gixy-nextGixy-Next: NGINX-Konfigurations-Sicherheitsscanner & Leistungsprüfer
# Gixy-Next: NGINX-Konfigurations-Sicherheitsscanner für Sicherheitsaudits
## Überblick
<a href="https://gixy.io/"><img width="192" height="192" alt="Gixy-Next Maskottchen-Logo" style="float: right;" align="right" src="https://assets.kitploit.com/production/public/readmes/10695/943d5c952685014f6540ef9cb02fe9d8cd895479a41a8f78786b5f2997207ec0.jpg" /></a>
Gixy-Next (Gixy) ist ein Open-Source-Sicherheitsscanner und Härtungswerkzeug für NGINX-Konfigurationen, das Ihre nginx.conf statisch analysiert, um Sicherheitsfehlkonfigurationen, Härtungslücken und gängige Performance-Fallstricke zu erkennen, bevor sie in die Produktion gelangen. Es ist ein aktiv gepflegter Fork von Yandex' [Gixy](https://github.com/yandex/gixy). Der Quellcode von Gixy-Next ist [auf GitHub verfügbar](https://github.com/megamansec/gixy-next).
Gixy-Next kann auch im Browser auf [dieser Seite](https://gixy.io/scanner/) ausgeführt werden. Kein Download erforderlich; Sie können Ihre Konfigurationen auf der Website scannen (lokal, mittels WebAssembly).
### Schnellstart
Gixy-Next (die CLI `gixy` oder `gixy-next`) wird auf [PyPI](https://pypi.python.org/pypi/Gixy-Next) vertrieben. Sie können es mit pip oder uv installieren:
```shell-session
# pip
pip3 install gixy-next
# uv
uv pip install gixy-next
```
Du kannst es dann ausführen:
```shell-session
# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf
```
Sie können Ihre NGINX-Konfiguration auch in eine einzelne Dump-Datei exportieren (siehe [nginx -T Live Configuration Dump](https://gixy.io/nginx-config-dump)):
```shell-session
# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -
```
### Webbasierter Scanner
Anstatt Gixy-Next lokal herunterzuladen und auszuführen, können Sie [diese Webseite](https://gixy.io/scanner/) verwenden und eine Konfiguration direkt in Ihrem Webbrowser scannen (lokal, mittels WebAssembly).
### Scannen mit Docker
Gixy-Next ist als Docker-Image auf [Docker Hub](https://hub.docker.com/r/megamansec/gixy-next/) oder in der [GitHub Registry](https://github.com/MegaManSec/Gixy-Next/pkgs/container/gixy-next) verfügbar.
Scannen Sie eine lokale Konfigurationsdatei, indem Sie sie in den Container einbinden:
```shell-session
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf
```
Scannen Sie einen NGINX-Live-Konfigurationsdump:
```shell-session
# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf
```
Scan von stdin:
```shell-session
# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -
```
## Was es leisten kann
Gixy-Next kann eine breite Palette von NGINX-Sicherheits- und Leistungsfehlkonfigurationen in `nginx.conf` und eingebundenen Konfigurationsdateien erkennen. Die folgenden Plugins werden unterstützt:
- [[add_header_content_type] Content-Type über add_header setzen](https://gixy.io/plugins/add_header_content_type/)
- [[add_header_multiline] Mehrzeilige Antwort-Header](https://gixy.io/plugins/add_header_multiline/)
- [[add_header_redefinition] Neudefinition von Antwort-Headern durch die Direktive "add_header"](https://gixy.io/plugins/add_header_redefinition/)
- [[alias_traversal] Path Traversal durch falsch konfigurierten alias](https://gixy.io/plugins/alias_traversal/)
- [[allow_without_deny] allow ohne deny angegeben](https://gixy.io/plugins/allow_without_deny/)
- [[default_server_flag] Fehlendes default_server-Flag](https://gixy.io/plugins/default_server_flag/)
- [[error_log_off] `error_log` auf `off` gesetzt](https://gixy.io/plugins/error_log_off/)
- [[filesystem_root_exposure] Dateisystem-Wurzel als Document Root verwendet](https://gixy.io/plugins/filesystem_root_exposure/)
- [[hash_without_default] Fehlender default in Hash-Blöcken](https://gixy.io/plugins/hash_without_default/)
- [[host_spoofing] Fälschung des Host-Headers einer Anfrage](https://gixy.io/plugins/host_spoofing/)
- [[http2_misdirected_request] Fehlende Absicherung gegen HTTP/2-Fehlleitung von Anfragen](https://gixy.io/plugins/http2_misdirected_request/)
- [[http_splitting] HTTP Response Splitting](https://gixy.io/plugins/http_splitting/)
- [[if_is_evil] If is evil bei Verwendung im location-Kontext](https://gixy.io/plugins/if_is_evil/)
- [[invalid_regex] Ungültige Regex-Capture-Gruppen](https://gixy.io/plugins/invalid_regex/)
- [[low_keepalive_requests] Niedriger Wert für `keepalive_requests`](https://gixy.io/plugins/low_keepalive_requests/)
- [[missing_worker_processes] Fehlende `worker_processes`](https://gixy.io/plugins/missing_worker_processes/)
- [[mixed_case_variable] Variablenreferenzen mit gemischter Groß-/Kleinschreibung](https://gixy.io/plugins/mixed_case_variable/)
- [[origins] Probleme bei der Validierung von Referer-/Origin-Headern](https://gixy.io/plugins/origins/)
- [[overlapping_captures] Überlappende Captures im Kontext von Rewrite-Redirect/Args](https://gixy.io/plugins/overlapping_captures/)
- [[proxy_buffering_off] Deaktivierung von `proxy_buffering`](https://gixy.io/plugins/proxy_buffering_off/)
- [[proxy_pass_normalized] `proxy_pass` kann einen unbeabsichtigten Pfad an das Upstream senden](https://gixy.io/plugins/proxy_pass_normalized/)
- [[proxy_set_header_redefinition] Neudefinition von Proxy-Request-Headern durch die Direktive "proxy_set_header"](https://gixy.io/plugins/proxy_set_header_redefinition/)
- [[quic_bpf_reuseport] QUIC-Verbindungen werden nach Reload stillschweigend verworfen](https://gixy.io/plugins/quic_bpf_reuseport/)
- [[regex_redos] Regular Expression Denial of Service (ReDoS)](https://gixy.io/plugins/regex_redos/)
- [[resolver_external] Verwendung externer DNS-Nameserver](https://gixy.io/plugins/resolver_external/)
- [[return_bypasses_allow_deny] Die return-Direktive umgeht allow/deny-Beschränkungen](https://gixy.io/plugins/return_bypasses_allow_deny/)
- [[ssl_ecdh_curve] Post-Quanten-Gruppen verhindern den Start von NGINX mit älterem OpenSSL](https://gixy.io/plugins/ssl_ecdh_curve/)
- [[ssl_stapling_letsencrypt] OCSP-Stapling bewirkt nichts bei einem Let's-Encrypt-Zertifikat](https://gixy.io/plugins/ssl_stapling_letsencrypt/)
- [[ssl_stapling_without_resolver] OCSP-Stapling schlägt ohne Resolver stillschweigend fehl](https://gixy.io/plugins/ssl_stapling_without_resolver/)
- [[ssrf] Server Side Request Forgery](https://gixy.io/plugins/ssrf/)
- [[stale_dns_cache] Veraltete/zwischengespeicherte DNS-Einträge werden in proxy_pass verwendet](https://gixy.io/plugins/stale_dns_cache/)
- [[status_page_exposed] Stellt sicher, dass status_page nicht öffentlich zugänglich ist](https://gixy.io/plugins/status_page_exposed/)
- [[try_files_is_evil_too] Die Direktive `try_files` ist ohne open_file_cache problematisch](https://gixy.io/plugins/try_files_is_evil_too/)
- [[unanchored_regex] Nicht verankerte reguläre Ausdrücke](https://gixy.io/plugins/unanchored_regex/)
- [[unnamed_groups] Unbenannte Capture-Gruppen in der Rewrite-Query-String](https://gixy.io/plugins/unnamed_groups/)
- [[valid_referers] none/blocked in valid_referers](https://gixy.io/plugins/valid_referers/)
- [[version_disclosure] Verwendung unsicherer Werte für server_tokens](https://gixy.io/plugins/version_disclosure/)
- [[worker_rlimit_nofile_vs_connections] `worker_rlimit_nofile` muss mindestens doppelt so groß sein wie `worker_connections`](https://gixy.io/plugins/worker_rlimit_nofile_vs_connections/)
Etwas nicht erkannt? Bitte öffne ein [Issue](https://github.com/MegaManSec/Gixy-Next/issues) auf GitHub und beschreibe, was fehlt!
## Verwendung (Flags)
Standardmäßig liest `gixy` die NGINX-Konfiguration eines Systems aus `/etc/nginx/nginx.conf`. Du kannst den Speicherort auch angeben, indem du ihn an `gixy` übergibst:
```shell-session
# Analyze the configuration in /opt/nginx.conf
gixy /opt/nginx.conf
```
Sie können eine gezielte Teilmenge von Prüfungen mit `--tests` ausführen:
```shell-session
# Only run these checks
gixy --tests http_splitting,ssrf,version_disclosure
```
Oder überspringe einige störende Prüfungen mit `--skips`:
```shell-session
# Run everything except these checks
gixy --skips low_keepalive_requests,worker_rlimit_nofile_vs_connections
```
Um nur Probleme einer bestimmten Schwere oder höher zu melden, verwenden Sie das kumulierende `-l`-Flag:
```shell-session
# -l for LOW severity issues and higher, -ll for MEDIUM and higher, and -lll for only HIGH severity issues
gixy -ll
```
Standardmäßig ist die Ausgabe von `gixy` ANSI-farbig; am besten in einem kompatiblen Terminal anzusehen. Sie können das Flag `--format` (`-f`) mit dem Wert `text` verwenden, um eine ungefärbte Ausgabe zu erhalten:
```shell-session
$ gixy -f text
==================== Results ===================
Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain "\n" may lead to http injection.
Additional info: https://gixy.io/plugins/http_splitting/
Reason: At least variable "$action" can contain "\n"
Pseudo config:
include /etc/nginx/sites/default.conf;
server {
location ~ /v1/((?<action>[^.]*)\.json)?$ {
add_header X-Action $action;
}
}
==================== Summary ===================
Total issues:
Informational: 0
Low: 0
Medium: 0
High: 1
```
Sie können auch `-f json` verwenden, um eine reproduzierbare, maschinenlesbare JSON-Ausgabe zu erhalten:
```shell-session
$ gixy -f json
[{"config":"\nserver {\n\n\tlocation ~ /v1/((?<action>[^.]*)\\.json)?$ {\n\t\tadd_header X-Action $action;\n\t}\n}","description":"Using variables that can contain \"\\n\" or \"\\r\" may lead to http injection.","file":"/etc/nginx/nginx.conf","line":4,"path":"/etc/nginx/nginx.conf","plugin":"http_splitting","reason":"At least variable \"$action\" can contain \"\\n\"","reference":"https://gixy.io/plugins/http_splitting/","severity":"HIGH","summary":"Possible HTTP-Splitting vulnerability."}]
```
Sie können auch `-f sarif` verwenden, um ein [SARIF 2.1.0](https://sarifweb.azurewebsites.net/)-Log zu erhalten, z. B. zum Hochladen in GitHub Code Scanning:
```shell-session
# Write a SARIF report to a file, e.g. for `github/codeql-action/upload-sarif`
gixy -f sarif -o gixy-results.sarif
```
Weitere Flags für die Verwendung finden Sie, indem Sie `--help` an `gixy` übergeben. Weitere Informationen finden Sie auch im [Usage Guide](https://gixy.io/usage/).
## Konfiguration und Plugin-Optionen
Einige Plugins bieten Optionen, die Sie über CLI-Flags oder eine Konfigurationsdatei festlegen können. Mehr dazu erfahren Sie im [Configuration guide](https://gixy.io/configuration/).
## Gixy-Next für NGINX-Sicherheit und Compliance
Anders als `nginx -t`, das nur die Syntax prüft, analysiert Gixy-Next tatsächlich Ihre Konfiguration und erkennt nicht gehärtete Instanzen und Schwachstellen.
Mit Gixy-Next können Sie eine automatisierte Sicherheitsüberprüfung der NGINX-Konfiguration durchführen, die bei jeder Änderung lokal ausgeführt werden kann – sei es für Audits, Compliance oder allgemeine Tests. Sie liefert umsetzbare Ergebnisse, die helfen, instabile/langsame NGINX-Server zu verhindern und das Risiko durch unsichere Direktiven und unsichere Standardwerte zu reduzieren.
## Mitwirken
Gixy-Next wird von [Joshua Rogers](https://joshua.hu) gepflegt, aber Beiträge sind immer willkommen! Sie können uns auf verschiedene Weise helfen, zum Beispiel:
- Fehler melden.
- Neue Plugins zur Erkennung vorschlagen.
- Die Dokumentation verbessern.
- Code korrigieren, refaktorisieren, verbessern und neuen Code schreiben.
Bevor Sie Änderungen in Pull Requests einreichen, lesen Sie bitte das Dokument mit den Beitragsrichtlinien, [Contributing to Gixy-Next](https://gixy.io/contributing/).
Die offizielle Homepage von Gixy-Next ist [https://gixy.io/](https://gixy.io/). Alle Änderungen an der Dokumentation in Gixy-Next werden automatisch auf dieser Website widergespiegelt.
Der Quellcode ist unter [https://github.com/MegaManSec/Gixy-Next](https://github.com/MegaManSec/Gixy-Next) zu finden.
## Was ist Gixy? (Hintergrund)
_Gixy_ ist ein NGINX-Konfigurationsanalysator, der [ursprünglich](https://github.com/yandex/gixy) von Andrew Krasichkov von Yandex entwickelt wurde. Er wurde erstmals 2017 veröffentlicht und wird seitdem nicht mehr gepflegt. Er unterstützt keine modernen Python-Versionen, enthält zahlreiche Fehler und ist in seiner Funktionalität und seiner Fähigkeit, anfällige NGINX-Konfigurationen zu erkennen, eingeschränkt. Das Ausführen des ursprünglichen Gixy auf einem modernen System führt heute zu folgendem Fehler:
```text
File "gixy/core/sre_parse/sre_parse.py", line 61, in <module>
"t": SRE_FLAG_TEMPLATE,
^^^^^^^^^^^^^^^^^
NameError: name 'SRE_FLAG_TEMPLATE' is not defined. Did you mean: 'SRE_FLAG_VERBOSE'?
```
Gixy-Next ist daher ein Fork, der Unterstützung für moderne Systeme hinzufügt, neue Prüfungen, Leistungsverbesserungen, Härtungsempfehlungen und Unterstützung für moderne Python- und NGINX-Versionen bietet.
### Warum nicht `gixy-ng`?
Gixy-Next ist tatsächlich ein Fork von `gixy-ng`, das selbst ein Fork des ursprünglichen `gixy` war. Gixy-Next entstand, nachdem der Maintainer von `gixy-ng` begonnen hatte, große Mengen KI-gestützter Änderungen und automatisch generierten Code zu produzieren, der sowohl unüberschaubar groß als auch fehlerhaft war.
Nach einiger Zeit begann der Maintainer von `gixy-ng`, KI-generierte Änderungen in die Codebasis einzuchecken, die offensichtliche Regressionen einführten, kritisches Verhalten des Tools brachen (was jeder, der das Tool nutzte, bemerkt hätte), zufällige KI-Tooling-Artefakte hinzufügten und Code einführten, der schlicht nicht das tat, was er tun sollte. Am wichtigsten ist jedoch, dass der Maintainer auch **Werbung für sein Unternehmen in der gesamten Dokumentation, allen Ausgaben und dem gesamten Quellcode** von `gixy-ng` **hinzufügte**.
Mit anderen Worten: Der Maintainer von `gixy-ng` nahm das ursprüngliche `gixy`, bat die KI um Änderungen, führte eine Reihe von Fehlern (und anderen KI-Müll) ein und fügte dann Werbung zum Code hinzu. Er akzeptierte auch Beiträge in Form von Merge Requests, entfernte jedoch die Informationen des Autors (siehe [diesen](https://joshua.hu/gixy-ng-new-version-gixy-updated-checks#quality-degradation) Beitrag und [diesen](https://joshua.hu/gixy-ng-ai-slop-gixy-next-maintained) Beitrag).
Gixy-Next konzentriert sich auf die Wiederherstellung von Qualität und wurde an NGINX-Konfigurationen erprobt, die fast 100.000 Zeilen lang sind. Es behebt Fehler und Fehlerkennungen, die durch Änderungen in `gixy-ng` eingeführt wurden, entfernt KI-Tool-Artefakte/-Müll und versucht, die Codebasis überprüfbar und wartbar zu halten. Dieser Fork ist für diejenigen gedacht, die an sauberem Code und langfristiger Wartbarkeit interessiert sind.