Gixy-Next: 보안 감사를 위한 NGINX 구성 보안 스캐너

개요

Gixy-Next(Gixy)는 오픈소스 NGINX 구성 보안 스캐너이자 하드닝 도구로, nginx.conf를 정적으로 분석하여 보안 오구성, 하드닝 격차, 그리고 흔한 성능 문제점을 프로덕션에 도달하기 전에 탐지합니다. 이는 Yandex의 Gixy를 활발히 유지보수하는 포크입니다. Gixy-Next의 소스 코드는 GitHub에서 확인할 수 있습니다.

Gixy-Next는 이 페이지에서 브라우저로도 실행할 수 있습니다. 다운로드가 필요 없으며, 웹사이트에서 구성 파일을 스캔할 수 있습니다(WebAssembly를 사용하여 로컬에서 실행).

빠른 시작

Gixy-Next(gixy 또는 gixy-next CLI)는 PyPI에 배포되어 있습니다. pip 또는 uv로 설치할 수 있습니다:

# pip
pip3 install gixy-next
# uv
uv pip install gixy-next

그런 다음 실행할 수 있습니다:

# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf

NGINX 구성을 단일 덤프 파일로 내보낼 수도 있습니다(nginx -T 라이브 구성 덤프 참조):

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -

웹 기반 스캐너

Gixy-Next를 로컬에 다운로드하여 실행하는 대신, 이 웹페이지를 사용하여 웹 브라우저에서 구성 파일을 스캔할 수 있습니다(WebAssembly를 사용하여 로컬에서 실행).

Docker로 스캔하기

Gixy-Next는 Docker Hub 또는 GitHub Registry에서 Docker 이미지로 제공됩니다.

로컬 구성 파일을 컨테이너에 마운트하여 스캔하세요:

# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf

NGINX 라이브 구성 덤프를 스캔합니다:

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf

stdin에서 스캔:

# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -

수행 가능한 기능

Gixy-Next는 nginx.conf 및 포함된 구성 파일 전반에서 광범위한 NGINX 보안 및 성능 오구성을 탐지할 수 있습니다. 다음 플러그인이 지원됩니다:

무언가 감지되지 않았나요? 누락된 항목과 함께 GitHub에 이슈를 열어 주세요!

사용법 (플래그)

gixy는 기본적으로 시스템의 NGINX 설정을 /etc/nginx/nginx.conf에서 읽습니다. gixy에 경로를 전달하여 위치를 지정할 수도 있습니다:

# Analyze the configuration in /opt/nginx.conf
gixy /opt/nginx.conf

--tests를 사용하여 검사 항목의 일부만 집중적으로 실행할 수 있습니다:

# Only run these checks
gixy --tests http_splitting,ssrf,version_disclosure

또는 --skips로 몇 가지 노이즈가 많은 검사를 건너뛸 수 있습니다:

# Run everything except these checks
gixy --skips low_keepalive_requests,worker_rlimit_nofile_vs_connections

특정 심각도 이상의 이슈만 보고하려면, 중첩 가능한 -l 플래그를 사용하세요:

# -l for LOW severity issues and higher, -ll for MEDIUM and higher, and -lll for only HIGH severity issues
gixy -ll

기본적으로 gixy의 출력은 ANSI 색상으로 표시되며, 호환되는 터미널에서 보는 것이 가장 좋습니다. 색상이 없는 출력을 얻으려면 --format(-f) 플래그에 text 값을 사용하면 됩니다:

$ gixy -f text

==================== Results ===================

Problem: [http_splitting] Possible HTTP-Splitting vulnerability.
Description: Using variables that can contain "\n" may lead to http injection.
Additional info: https://gixy.io/plugins/http_splitting/
Reason: At least variable "$action" can contain "\n"
Pseudo config:
include /etc/nginx/sites/default.conf;

	server {

		location ~ /v1/((?<action>[^.]*)\.json)?$ {
			add_header X-Action $action;
		}
	}

Gixy-Next v0.6.0