本文目录一览：
- 1、nginx正则表达式
- 2、为什么web安全很重要
- 3、找网站漏洞非得用软件吗请详细说一下谢谢
- 4、nginx怎么防止ddos攻击cc攻击等流量攻击
- 5、为什么经过nginx反向 *** 后 反而出来了很多xss漏洞
nginx正则表达式
“/index.php”请求同样先被字符location “/” 匹配，然后才被正则表达式“笔记：nginx是让客户端程序找到文件的目录位置。具体如何处理这个得让后端来
为什么web安全很重要
横向就是如图所示，纵向就是数据流；数据流说白了就是http协议。
举例：
1、如果在操作系统没有处理好，就产生了OS命令执行的安全问题；
2、如果在存储层的数据库中没有处理好，数据库的SQL解析引擎把这个“特殊数据”当做指令执行，就产生了SQL注入；
3、如果在web容器层如nginx中没有处理好，nginx把特殊数据当成指令执行时，就会产生远程溢出、DoS等各种安全问题；
4、如果在web开发框架或web应用层中没有处理好，把特殊数据当做指令执行时，可能就产生远程命令执行的安全问题；
5、如果在web前端层中没有处理好，浏览器的 *** 引擎把特殊数据当做执行执行时，就可能产生XSS跨站脚本的安全问题；
总结：
一切安全问题都体现在“输入输出”上，一切安全问题都存在“数据流”的整个过程中；
找网站漏洞非得用软件吗请详细说一下谢谢
网站漏洞可以手工找，也可以使用工具（如，WVS），但有些时候使用工具扫描漏洞的数据会被目标网站的安全设备过滤，这时候可以用手工试试。
漏洞：1、文件上传漏洞：web网站通常会有上传文件的功能，如：可以上传图片做头像、可以在个人网站发布zip压缩包、可以在 *** 网站上传DOC、DOCX等格式的简历，只要web网站允许上传文件就有可能存在上传漏洞。如果没有对上传文件格式、大小做限制或者限制被绕过，就可以上传热议文件和可执行的脚本文件等。测试:找到上传文件的地方，试着上传一个可执行文件，若可以上传，则说明该网站存在上传漏洞；
.2、解析漏洞：web服务器对HTTP请求处理不当，将非可执行的脚本、文件等当做可执行的脚本、文件去执行。解析漏洞常和文件上传漏洞一起用。如，Apache的文件解析漏洞：Apache从右到左读取数据，会跳过无法识别的文件后缀名，如，XXX.php.随便一个后缀名，Apache就会把该文件当作XXX.php去执行。Nginx的解析漏洞(8.03版本)：访问，Nginx会将xx.jpg文件当作xx.php执行。可以将攻击脚本文件的后缀名改为.jpg或其他网站可上传的文件格式，再访问该文件加上%00.php或其他可执行的后缀名，就可以使目标网站执行构造的攻击代码。
需要知道目标网站的中间件、中间件的版本等，通过信息收集阶段解决。
测试：在url中，在文件夹目录下输入带有.asp等可执行脚本文件后缀为后缀的文件夹，或输入类似xx.asp;.jpg，看其是否执行，执行则存在文件解析漏洞。
3、SQL注入漏洞：网站没有对用户提交的参数做过滤或者过滤被限制，执行了用户提交参数里携带的恶意SQL语句。
测试：在URL后面输入 and 1=1 或者 and 1=2回车，如果还是能够正常登录此网页，而没有提示“非法字符”或者提示“非法字符”等类似的字样就说明此网站能够SQL注入。
4、XSS漏洞：可以注入恶意的HTML/Javascript语句。
测试：网页的输入点，输入scriptalert（“xss”)/script，有弹窗弹出则证明存在xss漏洞
等。
nginx怎么防止ddos攻击cc攻击等流量攻击
nginx防止攻击，分流量攻击和cc攻击，如果是拒绝服务，只能判断然后限制一个ip，只访问几次
1. ngx_http_limit_conn_module 可以用来限制单个IP的连接数
2. ngx_http_limit_req_module 可以用来限制单个IP每秒请求数
3. nginx_limit_speed_module 可以用来对IP限速
试试ngx_lua_waf
功能：
防止sql注入，本地包含，部分溢出，fuzzing测试，xss,SSRF等web攻击
防止svn/备份之类文件泄漏
防止ApacheBench之类压力测试工具的攻击
屏蔽常见的扫描黑客工具，扫描器
屏蔽异常的 *** 请求
屏蔽图片附件类目录php执行权限
防止webshell上传
为什么经过nginx反向 *** 后 反而出来了很多xss漏洞
试试腾讯电脑管家，杀毒+管理2合1，还可以自动修复漏洞：之一时间发现并修复系统存在的高危漏洞，在不打扰您的情况下自动为系统打上漏洞补丁，轻轻松松将病毒木马拒之门外。自动修复漏洞 电脑管家可以在发现高危漏洞（仅包括高危漏洞，不包括其它漏洞）时，之一时间自动进行修复，无需用户参与，更大程度保证用户电脑安全。尤其适合老人、小孩或计算机初级水平用户使用