状态页暴露

Gixy Check ID: status_page_exposed

stub_status 模块会暴露 NGINX 服务器的指标，包括活动连接数、已处理的请求数和连接状态。若没有适当的 IP 限制，任何人都可以访问这些信息，从而为攻击者的侦察提供帮助。

错误示例

location /status {
    stub_status;
}

或者使用了 allow 但缺少 deny all：

location /status {
    stub_status;
    allow 10.0.0.0/8;
}

在问题进入生产环境之前发现它

GetPageSpeed Amplify 按计划在每台 NGINX 主机上运行 Gixy，并在出现新问题和 CVE 时发出告警，同时展示运行时指标。 设置持续监控.

正确示例

location = /nginx-status {
    stub_status on;
    allow 127.0.0.1;
    allow ::1;
    deny all;
}

务必将 stub_status 与针对受信任 IP 的显式 allow 指令搭配使用，并以 deny all 拒绝其他所有来源。