- Alat yang menganalisis konfigurasi NGINX untuk menemukan kerentanan keamanan
- Bertujuan mencegah kesalahan konfigurasi keamanan dan mendeteksi kerentanan secara otomatis
- Merupakan fork aktif dari Gixy orisinal buatan Yandex (tidak ada commit selama 2 tahun)
Masalah yang dapat dideteksi Gixy
- SSRF(Server Side Request Forgery): potensi serangan pemalsuan permintaan sisi server
- HTTP Splitting: potensi serangan pemisahan respons HTTP
- Masalah validasi Referrer/Origin: kerentanan keamanan akibat validasi yang tidak lengkap
- Override
add_header: masalah penimpaan header respons
- Spoofing header Host: kemungkinan pemalsuan header Host pada permintaan
- Kesalahan konfigurasi
valid_referers: masalah keamanan karena mengizinkan nilai none
- Header respons multi-baris: masalah keamanan akibat header respons yang terdiri dari beberapa baris
- Penelusuran path akibat kesalahan konfigurasi
alias: kemungkinan keluar dari direktori karena konfigurasi alias yang salah
- Masalah penggunaan pernyataan
if: perilaku tak terduga akibat penggunaan if di dalam blok location
- Kesalahan konfigurasi Allow: masalah karena pengaturan Deny tidak ada saat mengatur Allow
- Masalah konfigurasi Content-Type: masalah saat mengatur Content-Type dengan
add_header
- Masalah penggunaan DNS eksternal: konfigurasi DNS yang rentan terhadap masalah keamanan
- Paparan informasi versi: paparan informasi versi melalui pengaturan
server_tokens
- Masalah konfigurasi
try_files: masalah keamanan saat menggunakan try_files tanpa open_file_cache
- Masalah decoding path
proxy_pass: URL path didekode dan dinormalisasi secara otomatis
Cara penggunaan
- Secara default, Gixy mencoba menganalisis konfigurasi NGINX yang ada di
/etc/nginx/nginx.conf
- Jalur tertentu juga bisa ditentukan
- Misalnya, dapat digunakan untuk mencari kerentanan HTTP splitting
- Gixy juga dapat menggunakan pipe (standard input)
- Juga tersedia sebagai image Docker
- Anda perlu me-mount konfigurasi yang akan dianalisis sebagai volume dan memberikan path file konfigurasi saat menjalankan image Gixy
Belum ada komentar.