Nginx 路径匹配问题

admin 2021年9月1日14:57:17评论59 views字数 890阅读2分58秒阅读模式

location匹配命令

~      #波浪线表示执行一个正则匹配,区分大小写
~*    #表示执行一个正则匹配,不区分大小写
^~    #^~表示普通字符匹配,如果该选项匹配,只匹配该选项,不匹配别的选项,一般用来匹配目录
=      #进行普通字符精确匹配
@     #"@" 定义一个命名的 location,使用在内部定向时,例如 error_page, try_files

location 匹配的优先级(与location在配置文件中的顺序无关)

= 精确匹配会第一个被处理。如果发现精确匹配,nginx停止搜索其他匹配。
普通字符匹配,正则表达式规则和长的块规则将被优先和查询匹配,也就是说如果该项匹配还需去看有没有正则表达式匹配和更长的匹配。
^~ 则只匹配该规则,nginx停止搜索其他匹配,否则nginx会继续处理其他location指令。
最后匹配理带有"~"和"~*"的指令,如果找到相应的匹配,则nginx停止搜索其他匹配;当没有正则表达式或者没有正则表达式被匹配的情况下,那么匹配程度最高的逐字匹配指令会被使用。

location 匹配问题

当你使用alias来设置目录的时候,会出现一个问题:

location /static {
alias /var/www/static/;
autoindex on;
}

在这种情况下,若是访问http://hostname/static../就会返回/static/目录的上层目录,导致安全问题。
原因是使用普通匹配的时候,首先匹配到/static,然后剩下的字符被拼接在alias的路径之后。
要解决这个问题可以使用正则:

location ~ /static 

或者

location /static/

即可。

参考:
Nginx location匹配规则

FROM :rickyhao.com | rickyhao.com

相关推荐: VulnHub-[DC-1-7]-系列通关手册

DC1-通关手册 DC系列的靶机是一个专门构建的易受攻击的实验室,总共有九个!目的是获得渗透测试领域的经验。 它的设计初学者是一个挑战,但是它的难易程度取决于您的技能和知识以及学习能力。 要成功完成此挑战,您需要具备Linux技能,熟悉Linux命令行以及具有…

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年9月1日14:57:17
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Nginx 路径匹配问题http://cn-sec.com/archives/499697.html

发表评论

匿名网友 填写信息