• Nginx — это веб-сервер, на котором работает треть всех сайтов в мире. Но если забыть или проигнорировать некоторые ошибки в настройках, можно стать отличной мишенью для атакующих. Благодаря этому материалу, можно понять какие ошибки в конфигурациях встречаются чаще всего и как их исправить.
Attacks:
• Nginx Configuration Vulnerability;
• Exploiting Trailing Slash Misconfiguration;
• Exploiting Parent Directory Access;
• Impact Without Trailing Slash on Alias;
• Combined Impact.
Defend Against Attacks:
• Update Nginx;
• Configuration Check;
• Use Configuration Management;
• Security Headers;
• Access Control;
• Directory Listing;
• Alias Traversal Protection;
• HTTP to HTTPS Redirect;
• SSL Configuration;
• Rate Limiting;
• Connection Limits;
• Custom Error Pages;
• Gzip Compression;
• Client-Side Caching;
• HTTP2 Protocol;
• Secure File Permissions;
• Web Application Firewall (WAF);
• Monitoring and Logging;
• SSH Hardening;
• Firewall Configuration;
• Two-Factor Authentication;
• Regular Backups;
• Deny Hidden Files;
• IP Whitelisting;
• Disable Unused Modules;
• Use Trailing Slash in Alias Directives;
• Regular Expression Matching;
• Implement Strict Location Paths.
#Nginx #devsecops
Please open Telegram to view this post
VIEW IN TELEGRAM
👍24🔥23❤3🫡2✍1
• Коллекция полезных шпаргалок для DevOps и IT специалистов. Содержание следующее:
- #Nginx;
- #Docker;
- #Ansible;
- #Python;
- Go (Golang);
- #Git;
- Regular Expression (Regex);
- #PowerShell;
- #VIM;
- #Jenkins;
- Continuous Integration and Continuous Delivery (CI/CD);
- #Kubernetes;
- #Linux;
- Redis;
- Slack;
- Puppet;
- Google Cloud Developer;
- PostgreSQL;
- Ajax;
- Amazon Web Services (AWS).
#CheatSheet #DevOps
Please open Telegram to view this post
VIEW IN TELEGRAM
👍23🔥8❤4👎1
• Nginx — это веб-сервер, на котором работает треть всех сайтов в мире. Но если забыть или проигнорировать некоторые ошибки в настройках, можно стать отличной мишенью для атакующих:
• Missing Root Location in Nginx Configuration:
- Explanation;
- The Missing Root Location Issue.
• Attack Scenario: Exploiting the Missing Root Location:
- Mitigating the Risk.
• Unsafe Path Restriction in Nginx:
- Explanation;
- Potential Bypass Techniques;
- Attack Scenario: Exploiting Path Restriction Bypass;
- Mitigation Strategies.
• Unsafe variable use / HTTP Request Splitting:
- Unsafe Use of Variables: $uri and $document_uri;
- Regex Vulnerabilities;
- Safe Configuration;
- Attack Scenarios and Detection Techniques;
- CRLF Injection and HTTP Request Splitting;
- Bypassing Path Restrictions Using Encoded Characters;
- Examples of Vulnerable Configurations.
• Raw Backend Response Reading:
- Example Scenario: Exposing Raw Backend Responses;
- Example uWSGI Application;
- Nginx Configuration;
- Example Invalid HTTP Request;
- Example Output for Invalid Request;
- Attack Scenario;
- Mitigation Strategies.
• merge_slashes set to off:
- merge_slashes Directive;
- Malicious Response Headers;
- map Directive Default Value;
- DNS Spoofing Vulnerability;
- proxy_pass and internal Directives.
• proxy_set_header Upgrade & Connection:
- Vulnerable Configuration;
- Vulnerability;
- Attack Scenario;
- Mitigation;
- Additional Attack Scenarios and Commands.
#Nginx
Please open Telegram to view this post
VIEW IN TELEGRAM
👍22🔥7❤4
• Коллекция полезных шпаргалок для DevOps, ИБ и ИТ-специалистов:
➡ Nginx;
➡ Docker;
➡ Ansible;
➡ Python;
➡ Go (Golang);
➡ Git;
➡ Regular Expressions (Regex);
➡ PowerShell;
➡ VIM;
➡ Jenkins;
➡ Continuous Integration and Continuous Delivery (CI/CD);
➡ Kubernetes;
➡ Linux;
➡ Redis;
➡ Slack;
➡ Puppet;
➡ Google Cloud Developer;
➡ AI, Neural Networks, Machine Learning, Deep Learning & Data Science;
➡ PostgreSQL;
➡ Ajax;
➡ Amazon Web Services (AWS);
➡ Infrastructure as Code (IaC);
➡ System Design;
➡ Cyber Security.
#CheatSheet #DevOps #ИБ
#CheatSheet #DevOps #ИБ
Please open Telegram to view this post
VIEW IN TELEGRAM
👍40🔥8❤6⚡1
• Нашел хороший репозиторий, в котором собрано большое кол-во материала для освоения DevOps: от основ Docker и k8s до более продвинутых инструментов. Кстати, там есть не только теория, но еще и практическая часть с необходимыми примерами, сценариями, скриптами, манифестами и т.д.
➡ https://github.com/Pradumnasaraf/DevOps
• P.S. У автора есть сайт, куда дублируется вся информация из GitHub. Соответственно там можете ознакомиться со всем материалом в более удобном форме: devops.pradumnasaraf.dev
• В качестве дополнения:
➡ Roadmap в DevOps 2025 - очень объемный и актуальный roadmap для DevOps, который поможет понять, какие компетенции нужно приобрести в данной профессии. А еще статья содержит информацию о заработной плате, перспективах и грейдах.
➡ PS-Commands - очень объемная шпаргалка по инструментам направления DevOps. Вся информация представлена на русском языке и есть возможность скачать заметку в формате книги для дальнейшего изучения.
➡ Cheat-Sheet Collection - коллекция полезных шпаргалок для DevOps, ИБ и ИТ-специалистов.
➡ devops-interview - репозиторий, который содержит в себе огромное кол-во вопросов и ответов для подготовки к собеседованию на должность DevOps и системных администраторов.
➡ Easyoffer.ru - на этом сайте собрано более 1100 вопросов для подготовки к собеседованиям на позицию DevOps.
#DevOps
• P.S. У автора есть сайт, куда дублируется вся информация из GitHub. Соответственно там можете ознакомиться со всем материалом в более удобном форме: devops.pradumnasaraf.dev
• В качестве дополнения:
#DevOps
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍32🔥8❤6✍4
• Держите крутой и актуальный roadmap для DevOps, который включает в себя необходимые ссылки на обучающие материалы для каждого шага на этом пути.
• В дополнение
#DevOps
Please open Telegram to view this post
VIEW IN TELEGRAM
60❤30🔥11⚡6👍3
• Нашел хороший ресурс, который содержит интерактивные лабы для начинающих DevOps инженеров. Все задания были составлены и проверены экспертами, которые имеют огромный опыт в различных направлениях.
• На данный момент доступно 37 лаб (скоро будет еще 5). Можно отслеживать свой прогресс и получать ачивки.
➡️ https://devops-daily.com/games
• В дополнение⬇
➡ Репозиторий, в котором собрано большое кол-во материала для освоения DevOps: от основ Docker и k8s до более продвинутых инструментов. Кстати, там есть не только теория, но еще и практическая часть с необходимыми примерами, сценариями, скриптами, манифестами и т.д.
➡ PS-Commands - очень объемная шпаргалка по инструментам направления DevOps. Вся информация представлена на русском языке и есть возможность скачать заметку в формате книги для дальнейшего изучения.
➡ Cheat-Sheet Collection - коллекция полезных шпаргалок для DevOps, ИБ и ИТ-специалистов.
➡ devops-interview - репозиторий, который содержит в себе огромное кол-во вопросов и ответов для подготовки к собеседованию на должность DevOps и системных администраторов.
➡ Easyoffer.ru - на этом сайте собрано более 1100 вопросов для подготовки к собеседованиям на позицию DevOps.
#DevOps
• На данный момент доступно 37 лаб (скоро будет еще 5). Можно отслеживать свой прогресс и получать ачивки.
• В дополнение
#DevOps
Please open Telegram to view this post
VIEW IN TELEGRAM
1❤16👍11🔥8