Gixy - Công cụ phân tích cấu hình bảo mật Nginx

• Công cụ phân tích cấu hình NGINX để tìm ra các lỗ hổng bảo mật
• Nhắm tới việc ngăn ngừa lỗi cấu hình bảo mật và tự động phát hiện lỗ hổng
• Là một bản fork đang được duy trì tích cực của Gixy gốc do Yandex tạo ra (không có commit trong 2 năm)

Các vấn đề Gixy có thể phát hiện

• SSRF(Server Side Request Forgery): khả năng xảy ra tấn công giả mạo yêu cầu phía máy chủ
• HTTP Splitting: khả năng xảy ra tấn công phân tách phản hồi HTTP
• Vấn đề xác thực Referrer/Origin: lỗ hổng bảo mật do xác thực không đầy đủ
• Ghi đè add_header: vấn đề ghi đè header phản hồi
• Giả mạo header Host: khả năng làm giả header Host của yêu cầu
• Lỗi cấu hình valid_referers: vấn đề bảo mật do cho phép giá trị none
• Header phản hồi nhiều dòng: vấn đề bảo mật do header phản hồi có nhiều dòng
• Dò đường dẫn do lỗi cấu hình alias: khả năng thoát thư mục do cấu hình alias sai
• Vấn đề khi dùng câu lệnh if: hành vi không mong muốn do dùng if trong khối location
• Lỗi cấu hình Allow: thiếu cấu hình Deny khi thiết lập Allow
• Vấn đề cấu hình Content-Type: các vấn đề khi đặt Content-Type bằng add_header
• Vấn đề khi dùng DNS bên ngoài: cấu hình DNS dễ bị tổn thương về bảo mật
• Rò rỉ thông tin phiên bản: lộ thông tin phiên bản thông qua cấu hình server_tokens
• Vấn đề cấu hình try_files: vấn đề bảo mật khi dùng try_files mà không có open_file_cache
• Vấn đề giải mã đường dẫn trong proxy_pass: đường dẫn URL bị tự động giải mã và chuẩn hóa

Cách sử dụng

• Mặc định, Gixy sẽ cố gắng phân tích cấu hình NGINX tại /etc/nginx/nginx.conf
• Cũng có thể chỉ định một đường dẫn cụ thể
  • Ví dụ, có thể tìm lỗ hổng phân tách HTTP
• Gixy cũng hỗ trợ dùng pipe (đầu vào chuẩn)
• Cũng được cung cấp dưới dạng image Docker
  • Cần mount cấu hình cần phân tích dưới dạng volume và cung cấp đường dẫn tệp cấu hình khi chạy image Gixy