naxsi

项目状况

这是有关 Naxsi 的项目状态更新。

您可能已经注意到，Naxsi 的开发已停止，并且由于历史原因，存储库将被存档。这意味着该版本不会发布新的更新或错误修复。

但是，如果您希望更新到较新版本的 Naxsi，我们建议您使用 https://github.com/wargio/naxsi 上的新存储库。该存储库已通过新功能和错误修复进行积极维护和更新。

我们知道这个消息可能会让一些一直依赖 Naxsi 满足 Web 应用程序安全需求的用户感到失望。我们向您保证，我们致力于为您的安全需求提供最佳的解决方案，并鼓励您探索我们的安全产品。

感谢您的理解和持续支持。

纳克西是什么？

NAXSI 表示 Nginx 防 XSS 和 SQL 注入。

从技术上讲，它是一个第三方 nginx 模块，可作为许多 UNIX 类平台的包使用。默认情况下，该模块读取一小部分简单（且可读）的规则，其中包含网站漏洞中涉及的 99% 的已知模式。例如， < 、 |或drop不应该是 URI 的一部分。

非常简单，这些模式可能与合法查询匹配，Naxsi 管理员有责任添加将合法行为列入白名单的特定规则。管理员可以通过分析 nginx 的错误日志手动添加白名单，或者（推荐）通过密集的自动学习阶段启动项目，该阶段将自动生成有关网站行为的白名单规则。

简而言之，Naxsi 的行为就像一个默认为 DROP 的防火墙，唯一的任务是添加目标网站所需的 ACCEPT 规则才能正常工作。

为什么不一样呢？

与大多数 Web 应用程序防火墙相反，Naxsi 不像防病毒软件那样依赖签名库，因此无法通过“未知”攻击模式来规避。 Naxsi 是自由软件（如自由）并且免费（如免费啤酒）使用。

它靠什么运行？

Naxsi 应该与任何 nginx 版本兼容。

它依赖于libpcre正则表达式支持，据报道在 NetBSD、FreeBSD、OpenBSD、Debian、Ubuntu 和 CentOS 上运行良好。