admin 教程课件 2022-12-02

SSL证书暴露源站ip的解决方法

有很多站长（比如我）选择为自己的网站套上cdn，比起加速效果我相信更多人是为了保护自己那脆弱可怜幼小无助的源站ip不被人发现，不过有亿些平台例如 https://search.censys.io/ 会通过nginx的‘特性’来批量扫描 https://ip 以通过ssl证书获取ip与源站的对应关系

大概的原理就是在使用nginx的服务器上如果你没有给你的ip绑定一个默认站点，那么访问 https://你的ip 就可以访问到你服务器上最新的站点，即使你像百度一样设置了405之类的状态码，也可以通过查看ssl证书来知道你这个ip对应的是哪个网站

别问人家不知道你的域名怎么知道的你的ip，问就是人家批量扫的，如果扫到了那就是简单的对应关系了。

同时也是很多站点，明明套上了cdn，依然能被打到源站IP的原因。

WEEX交易所已上线平台币 WEEX Token (WXT)。WXT 作为 WEEX 交易所生态系统的基石，主要用于激励 WEEX 交易平台社区的合作伙伴、贡献者、先驱和活跃成员。

新用户注册 WEEX 账户、参与交易挖矿及平台其他活动，均可免费获得 WXT 空投奖励。

点此注册 WEEX 账户，即刻领取 1,600 WXT 新用户专属空投

看到这个证书就能发现 [220.181.38.148] 对应的是 baidu.cn，那么反过来baidu.cn对应的源站IP之一就是220.181.38.148

这就中招了

解决方法1：

添加一个自签ip证书

首先给你的服务器添加一个站点

添加完成以后把你的ip默认站点绑定为你刚刚新添加的站点

接下来访问 https://myssl.com/create_test_cert.html 来自定义一个ssl证书，这里我把我弄好的放在这，需要的可以自取生成好了的

密钥(KEY)

证书(PEM格式)

这个证书的效果如下图，是一个空证书

如果宝塔部署时出现错误，那就只能自己去申请和创建网站名对应的证书了。

解决方法2：

禁止直接访问IP

# 禁止IP直接访问网站  server {        listen       80 default_server;        listen       [::]:80 default_server;        server_name  _;        return 444;  }

解决方法3：

使用自签IP的SSL证书,返回444

自签证书的目的不是为了访问，而是避开Nginx的这个缺陷。生成自签的IP SSL证书可以用开源的Mkcert(https://myssl.com/create_test_cert.html)工具。Mkcert使用起来稍微麻烦，或者用一个测试证书的在线网页工具：https://myssl.com/create_test_cert.html

在填写域名的位置填上IP地址，点生成按钮会自动测试证书展示在下面，各自保存为.pem文件和.key文件。然后在nginx里配置上“return 444”，类似配置大概：

{  listen 80 ;  listen 443 ssl http2 default_server;  server_name ip;      #HTTP_TO_HTTPS_END      ssl_certificate    xxxx.pem;      ssl_certificate_key   xxxx.pem;      ssl_protocols TLSv1.1 TLSv1.2 TLSv1.3;    return 444;      }

解决方法4：

仅允许指定cdn的IP访问

Nginx仅允许指定cdn的IP访问,避免放到公网上被任何人扫。以腾讯云CDN段为例，在Nginx网站配置文件里，添加如下：

location / {  allow   58.250.143.0/24;  allow   58.251.121.0/24;  allow   59.36.120.0/24;  allow   61.151.163.0/24;  allow   101.227.163.0/24;  allow   111.161.109.0/24;  allow   116.128.128.0/24;  allow   123.151.76.0/24;  allow   125.39.46.0/24;  allow   140.207.120.0/24;  allow   180.163.22.0/24;  allow   183.3.254.0/24;  allow   223.166.151.0/24;    deny    all;  }

查一下使用的CDN商家的文档，如果有新的IP段更新，也加到里面。如果是小商家没有文档可以使用站长工具查询。

博客工具开源方法格式

本站资源均来源于网络或网友投稿，部分资源未经测试，难免存在BUG，所有资源只限于学习研究，不得商用。如使用本站下载的资源造成任何损失或发生侵权行为，均与本站无关。如不接受本声明请勿下载！本站资源如有侵权，请联系QQ：497149677核实后立即删除！
最客资源网 » SSL证书暴露源站ip的解决方法

admin 普通

分享到：

admin 普通

相关推荐