Gixy-Next: сканер безопасности конфигураций NGINX для аудита безопасности

Обзор

Gixy-Next (Gixy) — это открытый сканер безопасности и инструмент усиления защиты конфигураций NGINX, который статически анализирует ваш nginx.conf для выявления ошибок конфигурации безопасности, пробелов в усилении защиты и распространённых проблем производительности до того, как они попадут в продакшен. Это активно поддерживаемый форк Gixy от Яндекса. Исходный код Gixy-Next доступен на GitHub.

Gixy-Next также можно запустить в браузере на этой странице. Загрузка не требуется; вы можете сканировать свои конфигурации на сайте (локально, с использованием WebAssembly).

Быстрый старт

Gixy-Next (CLI gixy или gixy-next) распространяется на PyPI. Вы можете установить его с помощью pip или uv:

# pip
pip3 install gixy-next
# uv
uv pip install gixy-next

Затем вы можете запустить его:

# gixy defaults to reading /etc/nginx/nginx.conf
gixy
# But you can also specify a path to the configuration
gixy /opt/nginx.conf

Вы также можете экспортировать конфигурацию NGINX в один дамп-файл (см. nginx -T Live Configuration Dump):

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Scan the dump elsewhere (or via stdin):
gixy ./nginx-dump.conf
# or
cat ./nginx-dump.conf | gixy -

Веб-сканер

Вместо загрузки и локального запуска Gixy-Next вы можете использовать эту веб-страницу и сканировать конфигурацию прямо из веб-браузера (локально, с использованием WebAssembly).

Сканирование с помощью Docker

Gixy-Next доступен в виде Docker-образа из Docker Hub или GitHub Registry.

Сканируйте локальный файл конфигурации, смонтировав его в контейнер:

# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" ghcr.io/megamansec/gixy-next /nginx.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx.conf:/nginx.conf:ro" megamansec/gixy-next /nginx.conf

Сканирование дампа живой конфигурации NGINX:

# Dumps the full NGINX configuration into a single file (including all includes)
nginx -T > ./nginx-dump.conf
# Use Github Registry
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" ghcr.io/megamansec/gixy-next /nginx-dump.conf
# Or Docker Hub
docker run --pull=always --rm -v "$PWD/nginx-dump.conf:/nginx-dump.conf:ro" megamansec/gixy-next /nginx-dump.conf

Сканирование из stdin:

# Use Github Registry
nginx -T | docker run --pull=always --rm -i ghcr.io/megamansec/gixy-next gixy-next -
# Or Docker Hub
nginx -T | docker run --pull=always --rm -i megamansec/gixy-next gixy-next -

Что он умеет

Gixy-Next может обнаруживать широкий спектр ошибок конфигурации безопасности и производительности NGINX в nginx.conf и подключаемых файлах конфигурации. Поддерживаются следующие плагины:

• [add_header_content_type] Setting Content-Type via add_header
• [add_header_multiline] Multiline response headers
• [add_header_redefinition] Redefining of response headers by "add_header" directive
• [alias_traversal] Path traversal via misconfigured alias
• [allow_without_deny] Allow specified without deny
• [default_server_flag] Missing default_server flag
• [error_log_off] error_log set to off
• [hash_without_default] Missing default in hash blocks
• [host_spoofing] Request's Host header forgery
• [http2_misdirected_request] Missing HTTP/2 misdirected-request safeguard
• [http_splitting] HTTP Response Splitting
• [if_is_evil] If is evil when used in location context
• [invalid_regex] Invalid regex capture groups
• [low_keepalive_requests] Low keepalive_requests
• [missing_worker_processes] Missing worker_processes
• [mixed_case_variable] Mixed-case variable references
• [origins] Problems with referer/origin header validation
• [overlapping_captures] Overlapping captures in rewrite redirect/args context
• [proxy_buffering_off] Disabling proxy_buffering
• [proxy_pass_normalized] proxy_pass path normalization issues
• [proxy_set_header_redefinition] Redefining of proxied request headers by "proxy_set_header" directive
• [quic_bpf_reuseport] QUIC connections silently dropped after reload
• [regex_redos] Regular expression denial of service (ReDoS)
• [resolver_external] Using external DNS nameservers
• [return_bypasses_allow_deny] Return directive bypasses allow/deny restrictions
• [ssl_ecdh_curve] Post-quantum groups stop NGINX from starting on older OpenSSL
• [ssl_stapling_letsencrypt] OCSP stapling does nothing for a Let's Encrypt certificate
• [ssl_stapling_without_resolver] OCSP stapling silently fails without a resolver
• [ssrf] Server Side Request Forgery
• [stale_dns_cache] Outdated/stale cached DNS records used in proxy_pass
• [status_page_exposed] Ensures that status_page is not exposed to the world
• [try_files_is_evil_too] try_files directive is evil without open_file_cache
• [unanchored_regex] Unanchored regular expressions
• [unnamed_groups] Unnamed capture groups in rewrite query string
• [valid_referers] none/blocked in valid_referers
• [version_disclosure] Using insecure values for server_tokens
• [worker_rlimit_nofile_vs_connections] worker_rlimit_nofile must be at least twice worker_connections

Что-то не обнаружено? Пожалуйста, откройте issue на GitHub с описанием того, чего не хватает!

Использование (флаги)

По умолчанию gixy читает системную конфигурацию NGINX из /etc/nginx/nginx.conf. Вы также можете указать расположение, передав его в gixy: