Nginx怎么打开目录浏览功能？
[
2010/06/03 20:00 | by admin ]
2010/06/03 20:00 | by admin ]
你还记得apache下打开目录浏览功能的参数吗
Options FollowSymLinks
AllowOverride None
Options Indexes #就加这句就可以了,目录按需要选择
在Nginx下默认是不允许列出整个目录的。如需此功能，
先打开nginx.conf文件，在location server 或 http段中加入
另外两个参数最好也加上去:
autoindex_exact_size off;
默认为on，显示出文件的确切大小，单位是bytes。
改为off后，显示出文件的大概大小，单位是kB或者MB或者GB
autoindex_localtime on;
默认为off，显示的文件时间为GMT时间。
注意:改为on后，显示的文件时间为文件的服务器时间
server{
listen 80;
servername www.A.com;
autoindex on;
autoindex_exact_size off;
autoindex_localtime on;
root /home/www/;
}
详细参照:http://wiki.nginx.org/NginxChsHttpAutoindexModule
Options FollowSymLinks
AllowOverride None
Options Indexes #就加这句就可以了,目录按需要选择
在Nginx下默认是不允许列出整个目录的。如需此功能，
先打开nginx.conf文件，在location server 或 http段中加入
引用
autoindex on;
另外两个参数最好也加上去:
autoindex_exact_size off;
默认为on，显示出文件的确切大小，单位是bytes。
改为off后，显示出文件的大概大小，单位是kB或者MB或者GB
autoindex_localtime on;
默认为off，显示的文件时间为GMT时间。
注意:改为on后，显示的文件时间为文件的服务器时间
server{
listen 80;
servername www.A.com;
autoindex on;
autoindex_exact_size off;
autoindex_localtime on;
root /home/www/;
}
详细参照:http://wiki.nginx.org/NginxChsHttpAutoindexModule
Nginx的几个常用的命令参数
[ 2010/06/03 19:57 | by admin ]
2010/06/03 19:57 | by admin ]
一、nginx的几个命令参数
Nginx 安装后只有一个程序文件，本身并不提供各种管理程序，它是使用参数和系统信号机制对 Nginx 进程本身进行控制的。 Nginx 的参数包括有如下几个：
-c
：使用指定的配置文件而不是 conf 目录下的 nginx.conf 。
-t：测试配置文件是否正确，在运行时需要重新加载配置的时候，此命令非常重要，用来检测所修改的配置文件是否有语法错误。
-v：显示 nginx 版本号。
-V：显示 nginx 的版本号以及编译环境信息以及编译时的参数。
二、检测新的conf文件
测试当请目录下nginx.conf文件是否正确，使用命令：
nginx -t -c nginx.conf
2009/04/27 22:17:57 [info] 54240#0: the configuration file nginx.conf syntax is ok
2009/04/27 22:17:57 [info] 54240#0: the configuration file nginx.conf was tested successfully
得到如此结果，说明新conf文件没有错误。
如果有错，他会提示你在哪行出了错，在修改错误就可以了
Nginx 安装后只有一个程序文件，本身并不提供各种管理程序，它是使用参数和系统信号机制对 Nginx 进程本身进行控制的。 Nginx 的参数包括有如下几个：
-c
：使用指定的配置文件而不是 conf 目录下的 nginx.conf 。
-t：测试配置文件是否正确，在运行时需要重新加载配置的时候，此命令非常重要，用来检测所修改的配置文件是否有语法错误。
-v：显示 nginx 版本号。
-V：显示 nginx 的版本号以及编译环境信息以及编译时的参数。
二、检测新的conf文件
测试当请目录下nginx.conf文件是否正确，使用命令：
nginx -t -c nginx.conf
2009/04/27 22:17:57 [info] 54240#0: the configuration file nginx.conf syntax is ok
2009/04/27 22:17:57 [info] 54240#0: the configuration file nginx.conf was tested successfully
得到如此结果，说明新conf文件没有错误。
如果有错，他会提示你在哪行出了错，在修改错误就可以了
Nginx 目录访问末尾自动加斜线 /
[ 2010/06/03 19:56 | by admin ]
2010/06/03 19:56 | by admin ]
默认配置当你访问http://www.gsywx.com/dir 时不会加”/”
常见做法 if (-d $request_filename){
rewrite ^/(.*)([^/])$ http://$host/$1$2/ permanent;
}更佳的替代方法
optimize_server_names off;＃优化服务器名称：关
server_name_in_redirect off;＃服务器名称重定向：关
http://wiki.codemongers.com/NginxHttpCoreModule#optimize_server_names
常见做法 if (-d $request_filename){
rewrite ^/(.*)([^/])$ http://$host/$1$2/ permanent;
}更佳的替代方法
optimize_server_names off;＃优化服务器名称：关
server_name_in_redirect off;＃服务器名称重定向：关
http://wiki.codemongers.com/NginxHttpCoreModule#optimize_server_names
[转]80后发现nginx 0day漏洞，上传图片可入侵100万服务器
[ 2010/05/21 11:19 | by admin ]
2010/05/21 11:19 | by admin ]
80后发现nginx 0day漏洞，上传图片可入侵100万服务器
感谢素包子的投递
国内顶级安全团队80sec于5.20日下午6点发布了一个关于nginx的漏洞通告，由于该漏洞的存在，使用nginx+php组建的网站只要允许上传图片就可能被黑客入侵，直到5.21日凌晨，nginx尚未发布修复该漏洞的补丁；已经有一些网站被黑了，管理员速修复！
没错，重申一次，由于nginx有漏洞，这100万台服务器可能通过上传图片的方法被黑客轻易的植入木马。植入木马的过程也非常简单，就是把木马改成图片上传就是了，由于危害非常大，就不说细节了。有兴趣的请访问 http://www.80sec.com/nginx-securit.html
说了那么多，我想大家对80sec这个顶级安全团队比较好奇吧，素包子简单介绍一下。
80sec团队由一群年轻、充满活力、充满体力、充满激情、富有创造力的未婚dota男组成，他们均在各大互联网公司从事信息安全工作，他们的口号是know it then hack it，素包子非常认同这个观点：“我们只要非常熟悉一个事物，就有可能客观的发现它的不足之处，同时我们也能的发现该事物的优点”。
80sec的意思是“80端口的安全”，也就是“web安全”；同时由于该团队成员都是80后的年轻人，我们也可以理解为“80后安全”；另外由于sec的发音是se ke，我们还可以理解为“80后色客”、“80后摄客”或“80后S客”，我们对80sec的理解仅受限于想象力。
下面介绍一下他们的丰功伟绩，他们曾发现IIS、IE、FireFox、Maxthon、世界之窗、PHPWind、DeDeCMS、QQ mail、QuarkMail、EXTMail等软件的漏洞，可见硕果累累。
既然介绍了80sec，就不得不介绍另外一个非常专注WEB安全的顶级安全团队80vul，该团队同样也是由80后的男童鞋组成（90后表示压力很大:p），他们也发现了大量WEB APP的安全漏洞，例如IE、Gmail、wordpress、PHPWind、DISCUZ、MYBB等。
看到这里，想必大家心里都有那么点遗憾，那就是为何没有80后女黑客（我不歧视伪娘，但我必须说明不是伪娘），我也有相同的遗憾。
最后发一个小道消息，据说黑客已经在行动了；安全人员、系统管理人员、行动起来吧，赶紧修复该漏洞；最好不要有侥幸心理，否则下一个被黑客入侵的可能就是你的网站。根据80sec安全公告的描述，临时修复方法如下，可3选其一。
1、设置php.ini的cgi.fix_pathinfo为0，重启php。最方便，但修改设置的影响需要自己评估。
2、给nginx的vhost配置添加如下内容，重启nginx。vhost较少的情况下也很方便。
if ( $fastcgi_script_name ~ ..*/.*php ) {
return 403;
}
3、禁止上传目录解释PHP程序。不需要动webserver，如果vhost和服务器较多，短期内难度急剧上升；建议在vhost和服务器较少的情况下采用。
估计今天黑客和管理员的交互会达到一个小高潮，如果希望进一步的了解相关内幕，请关注素包子的网站
http://baoz.net/nginx-0day-by-80sec/
感谢素包子的投递
国内顶级安全团队80sec于5.20日下午6点发布了一个关于nginx的漏洞通告，由于该漏洞的存在，使用nginx+php组建的网站只要允许上传图片就可能被黑客入侵，直到5.21日凌晨，nginx尚未发布修复该漏洞的补丁；已经有一些网站被黑了，管理员速修复！
没错，重申一次，由于nginx有漏洞，这100万台服务器可能通过上传图片的方法被黑客轻易的植入木马。植入木马的过程也非常简单，就是把木马改成图片上传就是了，由于危害非常大，就不说细节了。有兴趣的请访问 http://www.80sec.com/nginx-securit.html
说了那么多，我想大家对80sec这个顶级安全团队比较好奇吧，素包子简单介绍一下。
80sec团队由一群年轻、充满活力、充满体力、充满激情、富有创造力的未婚dota男组成，他们均在各大互联网公司从事信息安全工作，他们的口号是know it then hack it，素包子非常认同这个观点：“我们只要非常熟悉一个事物，就有可能客观的发现它的不足之处，同时我们也能的发现该事物的优点”。
80sec的意思是“80端口的安全”，也就是“web安全”；同时由于该团队成员都是80后的年轻人，我们也可以理解为“80后安全”；另外由于sec的发音是se ke，我们还可以理解为“80后色客”、“80后摄客”或“80后S客”，我们对80sec的理解仅受限于想象力。
下面介绍一下他们的丰功伟绩，他们曾发现IIS、IE、FireFox、Maxthon、世界之窗、PHPWind、DeDeCMS、QQ mail、QuarkMail、EXTMail等软件的漏洞，可见硕果累累。
既然介绍了80sec，就不得不介绍另外一个非常专注WEB安全的顶级安全团队80vul，该团队同样也是由80后的男童鞋组成（90后表示压力很大:p），他们也发现了大量WEB APP的安全漏洞，例如IE、Gmail、wordpress、PHPWind、DISCUZ、MYBB等。
看到这里，想必大家心里都有那么点遗憾，那就是为何没有80后女黑客（我不歧视伪娘，但我必须说明不是伪娘），我也有相同的遗憾。
最后发一个小道消息，据说黑客已经在行动了；安全人员、系统管理人员、行动起来吧，赶紧修复该漏洞；最好不要有侥幸心理，否则下一个被黑客入侵的可能就是你的网站。根据80sec安全公告的描述，临时修复方法如下，可3选其一。
1、设置php.ini的cgi.fix_pathinfo为0，重启php。最方便，但修改设置的影响需要自己评估。
2、给nginx的vhost配置添加如下内容，重启nginx。vhost较少的情况下也很方便。
if ( $fastcgi_script_name ~ ..*/.*php ) {
return 403;
}
3、禁止上传目录解释PHP程序。不需要动webserver，如果vhost和服务器较多，短期内难度急剧上升；建议在vhost和服务器较少的情况下采用。
估计今天黑客和管理员的交互会达到一个小高潮，如果希望进一步的了解相关内幕，请关注素包子的网站
http://baoz.net/nginx-0day-by-80sec/
