GIXY

Übersicht

Gixy ist ein Werkzeug zur Analyse von Nginx-Konfigurationen. Das Hauptziel von Gixy ist es, Sicherheitsfehlkonfigurationen zu verhindern und die Fehlererkennung zu automatisieren.

Derzeit unterstützte Python-Versionen sind 2.7, 3.5, 3.6 und 3.7.

Haftungsausschluss: Gixy ist nur unter GNU/Linux gut getestet, andere Betriebssysteme können Probleme aufweisen.

Was es kann

Derzeit kann Gixy Folgendes finden:

• [ssrf] Serverseitige Request-Forgery
• [http_splitting] HTTP-Splitting
• [origins] Probleme mit der Referrer-/Origin-Validierung
• [add_header_redefinition] Neudefinition von Antwort-Headern durch die "add_header"-Direktive
• [host_spoofing] Fälschung des Host-Headers von Anfragen
• [valid_referers] none in valid_referers
• [add_header_multiline] Mehrzeilige Antwort-Header
• [alias_traversal] Pfad-Traversal durch falsch konfiguriertes Alias

Sie können Dinge, die Gixy gerade lernt zu erkennen, unter Issues mit dem Label "new plugin" finden.

Installation

Gixy wird auf PyPI vertrieben. Am besten installiert man es mit pip:

pip install gixy

Führen Sie Gixy aus und überprüfen Sie die Ergebnisse:

gixy

Verwendung

Standardmäßig versucht Gixy, die Nginx-Konfiguration in /etc/nginx/nginx.conf zu analysieren.

Sie können aber jederzeit den gewünschten Pfad angeben:

$ gixy /etc/nginx/nginx.conf

==================== Results ===================

Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain "\n" may lead to http injection.
Additional info: https://github.com/yandex/gixy/blob/master/docs/ru/plugins/httpsplitting.md
Reason: At least variable "$action" can contain "\n"
Pseudo config:
include /etc/nginx/sites/default.conf;

	server {

		location ~ /v1/((?<action>[^.]*)\.json)?$ {
			add_header X-Action $action;
		}
	}


==================== Summary ===================
Total issues:
    Unspecified: 0
    Low: 0
    Medium: 0
    High: 1

Oder überspringen Sie einige Tests:

$ gixy --skips http_splitting /etc/nginx/nginx.conf

==================== Results ===================
No issues found.

==================== Summary ===================
Total issues:
    Unspecified: 0
    Low: 0
    Medium: 0
    High: 0

Oder etwas anderes – alle weiteren gixy-Argumente finden Sie mit dem Hilfe-Befehl: gixy --help

Docker-Verwendung

Gixy ist als Docker-Image vom Docker Hub verfügbar. Um es zu verwenden, mounten Sie die zu analysierende Konfiguration als Volume und geben Sie den Pfad zur Konfigurationsdatei an, wenn Sie das Gixy-Image ausführen.

$ docker run --rm -v `pwd`/nginx.conf:/etc/nginx/conf/nginx.conf yandex/gixy /etc/nginx/conf/nginx.conf

Wenn Sie ein Image haben, das bereits Ihre Nginx-Konfiguration enthält, können Sie die Konfiguration über ein Volume mit dem Gixy-Container teilen.

$  docker run --rm --name nginx -d -v /etc/nginx
nginx:alpinef68f2833e986ae69c0a5375f9980dc7a70684a6c233a9535c2a837189f14e905

$  docker run --rm --volumes-from nginx yandex/gixy /etc/nginx/nginx.conf

==================== Results ===================
No issues found.

==================== Summary ===================
Total issues:
    Unspecified: 0
    Low: 0
    Medium: 0
    High: 0

Mitwirken

Beiträge zu Gixy sind jederzeit willkommen! Sie können uns auf verschiedene Weise helfen:

• Eröffnen Sie ein Issue mit Verbesserungsvorschlägen und Fehlern, auf die Sie stoßen;
• Forken Sie dieses Repository und reichen Sie einen Pull-Request ein;
• Verbessern Sie die Dokumentation.

Code-Richtlinien:

• Der Python-Codestil sollte wann immer möglich den pep8-Standards folgen;
• Pull-Requests mit neuen Plugins müssen Unit-Tests dafür enthalten.