megamansec/gixy-nextGixy-Next: Scanner di sicurezza della configurazione NGINX e controllo delle prestazioni
# Gixy-Next: scanner di sicurezza per configurazioni NGINX per audit di sicurezza
## Panoramica
<a href="https://gixy.io/"><img width="192" height="192" alt="Logo della mascotte di Gixy-Next" style="float: right;" align="right" src="https://assets.kitploit.com/production/public/readmes/10695/943d5c952685014f6540ef9cb02fe9d8cd895479a41a8f78786b5f2997207ec0.jpg" /></a>
Gixy-Next (Gixy) è uno scanner di sicurezza per configurazioni NGINX e uno strumento di hardening open-source che analizza staticamente il tuo nginx.conf per rilevare misconfigurazioni di sicurezza, lacune nell'hardening e comuni problemi di prestazioni prima che raggiungano la produzione. È un fork attivamente mantenuto di [Gixy](https://github.com/yandex/gixy) di Yandex. Il codice sorgente di Gixy-Next è [disponibile su GitHub](https://github.com/megamansec/gixy-next).
Gixy-Next può anche essere eseguito nel browser su [questa pagina](https://gixy.io/scanner/). Non è necessario alcun download; puoi scansionare le tue configurazioni sul sito web (localmente, usando WebAssembly).
### Avvio rapido
Gixy-Next (la CLI `gixy` o `gixy-next`) è distribuito su [PyPI](https://pypi.python.org/pypi/Gixy-Next). Puoi installarlo con pip o uv:
```shell-session
# pip
pip3 install gixy-next
# uv
uv pip install gixy-next
```
Puoi quindi eseguirlo:
```shell-session
# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf
```
Puoi anche esportare la tua configurazione NGINX in un unico file di dump (vedi [nginx -T Live Configuration Dump](https://gixy.io/nginx-config-dump)):
```shell-session
# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -
```
### Scanner basato sul web
Invece di scaricare ed eseguire Gixy-Next localmente, puoi usare [questa pagina web](https://gixy.io/scanner/) e analizzare una configurazione dal tuo browser web (localmente, usando WebAssembly).
### Scansione con Docker
Gixy-Next è disponibile come immagine Docker da [Docker Hub](https://hub.docker.com/r/megamansec/gixy-next/) o [GitHub Registry](https://github.com/MegaManSec/Gixy-Next/pkgs/container/gixy-next).
Analizza un file di configurazione locale montandolo nel container:
```shell-session
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf
```
Esegui la scansione di un dump della configurazione live di NGINX:
```shell-session
# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf
```
Scansione da stdin:
```shell-session
# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -
```
## Cosa può fare
Gixy-Next è in grado di rilevare un'ampia gamma di misconfigurazioni di sicurezza e prestazioni di NGINX all'interno di `nginx.conf` e dei file di configurazione inclusi. Sono supportati i seguenti plugin:
- [[add_header_content_type] Impostazione del Content-Type tramite add_header](https://gixy.io/plugins/add_header_content_type/)
- [[add_header_multiline] Header di risposta multilinea](https://gixy.io/plugins/add_header_multiline/)
- [[add_header_redefinition] Ridefinizione degli header di risposta tramite la direttiva "add_header"](https://gixy.io/plugins/add_header_redefinition/)
- [[alias_traversal] Path traversal tramite alias mal configurato](https://gixy.io/plugins/alias_traversal/)
- [[allow_without_deny] Allow specificato senza deny](https://gixy.io/plugins/allow_without_deny/)
- [[default_server_flag] Flag default_server mancante](https://gixy.io/plugins/default_server_flag/)
- [[error_log_off] `error_log` impostato su `off`](https://gixy.io/plugins/error_log_off/)
- [[filesystem_root_exposure] Radice del filesystem usata come document root](https://gixy.io/plugins/filesystem_root_exposure/)
- [[hash_without_default] Default mancante nei blocchi hash](https://gixy.io/plugins/hash_without_default/)
- [[host_spoofing] Contraffazione dell'header Host della richiesta](https://gixy.io/plugins/host_spoofing/)
- [[http2_misdirected_request] Protezione mancante contro le richieste mal indirizzate HTTP/2](https://gixy.io/plugins/http2_misdirected_request/)
- [[http_splitting] HTTP Response Splitting](https://gixy.io/plugins/http_splitting/)
- [[if_is_evil] If è dannoso se usato nel contesto location](https://gixy.io/plugins/if_is_evil/)
- [[invalid_regex] Gruppi di cattura regex non validi](https://gixy.io/plugins/invalid_regex/)
- [[low_keepalive_requests] `keepalive_requests` troppo basso](https://gixy.io/plugins/low_keepalive_requests/)
- [[missing_worker_processes] `worker_processes` mancante](https://gixy.io/plugins/missing_worker_processes/)
- [[mixed_case_variable] Riferimenti a variabili con maiuscole e minuscole miste](https://gixy.io/plugins/mixed_case_variable/)
- [[origins] Problemi con la validazione degli header referer/origin](https://gixy.io/plugins/origins/)
- [[overlapping_captures] Catture sovrapposte nel contesto rewrite redirect/args](https://gixy.io/plugins/overlapping_captures/)
- [[proxy_buffering_off] Disabilitazione di `proxy_buffering`](https://gixy.io/plugins/proxy_buffering_off/)
- [[proxy_pass_normalized] `proxy_pass` può inviare un percorso non previsto all'upstream](https://gixy.io/plugins/proxy_pass_normalized/)
- [[proxy_set_header_redefinition] Ridefinizione degli header delle richieste inoltrate tramite la direttiva "proxy_set_header"](https://gixy.io/plugins/proxy_set_header_redefinition/)
- [[quic_bpf_reuseport] Connessioni QUIC scartate silenziosamente dopo il reload](https://gixy.io/plugins/quic_bpf_reuseport/)
- [[regex_redos] Denial of service tramite espressioni regolari (ReDoS)](https://gixy.io/plugins/regex_redos/)
- [[resolver_external] Uso di nameserver DNS esterni](https://gixy.io/plugins/resolver_external/)
- [[return_bypasses_allow_deny] La direttiva return aggira le restrizioni allow/deny](https://gixy.io/plugins/return_bypasses_allow_deny/)
- [[ssl_ecdh_curve] I gruppi post-quantum impediscono l'avvio di NGINX su OpenSSL meno recenti](https://gixy.io/plugins/ssl_ecdh_curve/)
- [[ssl_stapling_letsencrypt] L'OCSP stapling non ha alcun effetto per un certificato Let's Encrypt](https://gixy.io/plugins/ssl_stapling_letsencrypt/)
- [[ssl_stapling_without_resolver] L'OCSP stapling fallisce silenziosamente senza un resolver](https://gixy.io/plugins/ssl_stapling_without_resolver/)
- [[ssrf] Server Side Request Forgery](https://gixy.io/plugins/ssrf/)
- [[stale_dns_cache] Record DNS in cache obsoleti/scaduti usati in proxy_pass](https://gixy.io/plugins/stale_dns_cache/)
- [[status_page_exposed] Verifica che status_page non sia esposta al mondo esterno](https://gixy.io/plugins/status_page_exposed/)
- [[try_files_is_evil_too] La direttiva `try_files` è dannosa senza open_file_cache](https://gixy.io/plugins/try_files_is_evil_too/)
- [[unanchored_regex] Espressioni regolari non ancorate](https://gixy.io/plugins/unanchored_regex/)
- [[unnamed_groups] Gruppi di cattura senza nome nella query string di rewrite](https://gixy.io/plugins/unnamed_groups/)
- [[valid_referers] none/blocked in valid_referers](https://gixy.io/plugins/valid_referers/)
- [[version_disclosure] Uso di valori non sicuri per server_tokens](https://gixy.io/plugins/version_disclosure/)
- [[worker_rlimit_nofile_vs_connections] `worker_rlimit_nofile` deve essere almeno il doppio di `worker_connections`](https://gixy.io/plugins/worker_rlimit_nofile_vs_connections/)
Non è stato rilevato qualcosa? Apri una [issue](https://github.com/MegaManSec/Gixy-Next/issues) su GitHub indicando cosa manca!
## Utilizzo (flag)
Per impostazione predefinita, `gixy` legge la configurazione NGINX di un sistema da `/etc/nginx/nginx.conf`. Puoi anche specificare la posizione passandola a `gixy`:
```shell-session
# Analyze the configuration in /opt/nginx.conf
gixy /opt/nginx.conf
```
Puoi eseguire un sottoinsieme mirato di controlli con `--tests`:
```shell-session
# Only run these checks
gixy --tests http_splitting,ssrf,version_disclosure
```
Oppure salta alcuni controlli rumorosi con `--skips`:
```shell-session
# Run everything except these checks
gixy --skips low_keepalive_requests,worker_rlimit_nofile_vs_connections
```
Per segnalare solo problemi di una determinata gravità o superiore, utilizzare il flag composto `-l`:
```shell-session
# -l for LOW severity issues and higher, -ll for MEDIUM and higher, and -lll for only HIGH severity issues
gixy -ll
```
Per impostazione predefinita, l'output di `gixy` è colorato con ANSI; è preferibile visualizzarlo in un terminale compatibile. È possibile utilizzare il flag `--format` (`-f`) con il valore `text` per ottenere un output senza colori:
```shell-session
$ gixy -f text
==================== Results ===================
Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain "\n" may lead to http injection.
Additional info: https://gixy.io/plugins/http_splitting/
Reason: At least variable "$action" can contain "\n"
Pseudo config:
include /etc/nginx/sites/default.conf;
server {
location ~ /v1/((?<action>[^.]*)\.json)?$ {
add_header X-Action $action;
}
}
==================== Summary ===================
Total issues:
Informational: 0
Low: 0
Medium: 0
High: 1
```
Puoi anche usare `-f json` per ottenere un output JSON riproducibile e leggibile dalla macchina:
```shell-session
$ gixy -f json
[{"config":"\nserver {\n\n\tlocation ~ /v1/((?<action>[^.]*)\\.json)?$ {\n\t\tadd_header X-Action $action;\n\t}\n}","description":"Using variables that can contain \"\\n\" or \"\\r\" may lead to http injection.","file":"/etc/nginx/nginx.conf","line":4,"path":"/etc/nginx/nginx.conf","plugin":"http_splitting","reason":"At least variable \"$action\" can contain \"\\n\"","reference":"https://gixy.io/plugins/http_splitting/","severity":"HIGH","summary":"Possible HTTP-Splitting vulnerability."}]
```
Puoi anche usare `-f sarif` per ottenere un log [SARIF 2.1.0](https://sarifweb.azurewebsites.net/), ad esempio per il caricamento su GitHub code scanning:
```shell-session
# Write a SARIF report to a file, e.g. for `github/codeql-action/upload-sarif`
gixy -f sarif -o gixy-results.sarif
```
Ulteriori flag per l'utilizzo possono essere trovati passando `--help` a `gixy`. Puoi anche trovare maggiori informazioni nella [Guida all'utilizzo](https://gixy.io/usage/).
## Configurazione e opzioni dei plugin
Alcuni plugin espongono opzioni che puoi impostare tramite flag CLI o un file di configurazione. Puoi leggere di più al riguardo nella [Guida alla configurazione](https://gixy.io/configuration/).
## Gixy-Next per la sicurezza e la conformità di NGINX
A differenza dell'esecuzione di `nginx -t` che controlla solo la sintassi, Gixy-Next analizza effettivamente la tua configurazione e rileva istanze non rafforzate e vulnerabilità.
Con Gixy-Next, puoi eseguire una revisione automatizzata della sicurezza della configurazione NGINX che può essere eseguita localmente a ogni modifica, sia per audit, conformità o test generali, contribuendo a produrre risultati attuabili che aiutano a prevenire server NGINX instabili/lenti e a ridurre il rischio derivante da direttive non sicure e impostazioni predefinite non sicure.
## Contribuire
Gixy-Next è mantenuto da [Joshua Rogers](https://joshua.hu), ma i contributi sono sempre benvenuti! Puoi aiutarci in diversi modi, come:
- Segnalare bug.
- Suggerire nuovi plugin per il rilevamento.
- Migliorare la documentazione.
- Correggere, rifattorizzare, migliorare e scrivere nuovo codice.
Prima di inviare qualsiasi modifica nelle pull request, leggi il documento delle linee guida per i contributi, [Contributing to Gixy-Next](https://gixy.io/contributing/).
La homepage ufficiale di Gixy-Next è [https://gixy.io/](https://gixy.io/). Qualsiasi modifica alla documentazione in Gixy-Next sarà automaticamente riflessa su quel sito web.
Il codice sorgente può essere trovato su [https://github.com/MegaManSec/Gixy-Next](https://github.com/MegaManSec/Gixy-Next).
## Cos'è Gixy? (Contesto)
_Gixy_ è un analizzatore di configurazione NGINX che è stato [originariamente](https://github.com/yandex/gixy) sviluppato da Andrew Krasichkov di Yandex. È stato rilasciato per la prima volta nel 2017 e da allora è diventato non mantenuto. Non supporta le versioni moderne di Python, contiene numerosi bug ed è limitato nelle sue funzionalità e nella capacità di rilevare configurazioni NGINX vulnerabili. Eseguire l'originale Gixy oggi su un sistema moderno comporterà il seguente errore:
```text
File "gixy/core/sre_parse/sre_parse.py", line 61, in <module>
"t": SRE_FLAG_TEMPLATE,
^^^^^^^^^^^^^^^^^
NameError: name 'SRE_FLAG_TEMPLATE' is not defined. Did you mean: 'SRE_FLAG_VERBOSE'?
```
Gixy-Next, quindi, è un fork che aggiunge il supporto per i sistemi moderni, introduce nuovi controlli, miglioramenti delle prestazioni, suggerimenti di hardening e il supporto per le versioni moderne di Python e NGINX.
### Perché non `gixy-ng`?
Gixy-Next è in realtà un fork di `gixy-ng`, che a sua volta era un fork dell'originale `gixy`. Gixy-Next è stato creato dopo che il manutentore di `gixy-ng` ha iniziato a produrre grandi quantità di modifiche assistite dall'IA e codice generato automaticamente, che era sia irrecensibilmente voluminoso sia difettoso.
Dopo qualche tempo, il manutentore di `gixy-ng` ha iniziato a committare modifiche generate dall'IA nel codebase, che hanno introdotto ovvie regressioni, compromesso il comportamento critico dello strumento (cosa che chiunque utilizzasse lo strumento avrebbe notato), aggiunto artefatti casuali di strumenti IA e introdotto codice che semplicemente non faceva ciò che avrebbe dovuto fare. Soprattutto, il manutentore ha anche **aggiunto pubblicità per la propria attività in tutta la documentazione, in tutto l'output e in tutto il codice sorgente** di `gixy-ng`.
In altre parole, il manutentore di `gixy-ng` ha preso l'originale `gixy`, ha chiesto all'IA di apportare modifiche, ha introdotto una serie di bug (e altre schifezze generate dall'IA) e poi ha aggiunto pubblicità al codice. Ha anche accettato contributi sotto forma di merge request, ma ha rimosso le informazioni dell'autore (vedi [questo](https://joshua.hu/gixy-ng-new-version-gixy-updated-checks#quality-degradation) post e [questo](https://joshua.hu/gixy-ng-ai-slop-gixy-next-maintained) post).
Gixy-Next si concentra sul ripristino della qualità ed è stato collaudato su configurazioni NGINX lunghe quasi 100.000 righe. Corregge bug ed errori di rilevamento introdotti dalle modifiche apportate in `gixy-ng`, rimuove artefatti e scorie degli strumenti IA e cerca di mantenere il codebase recensibile e manutenibile. Questo fork è per coloro che sono interessati al codice pulito e alla manutenibilità a lungo termine.