sql注入nginx

① 502 Bad Gateway

可以尝试清除浏览器缓存 访问一下你的FTP看是否可以登陆 产生原因 服务器（不一定是Web服务器）是作为网关或代理，以满足客户的要求（如Web浏览器或我们的CheckUpDown机器人）来访问所请求的URL 。此服务器收到无效响应从上游服务器访问履行它的要求。 固定502错误 一般这个问题是由于不良的IP之间的沟通后端计算机，包括您可能尝试访问的在Web服务器上的网站。在分析这个问题，您应该清除浏览器缓存完全。 如果您上网时在您尝试访问的所有网站上都看这个问题，有两种可能 1 ）你的ISP了重大设备故障/过载或 2 ）有问题的内部互联网连接如您的防火墙无法正常运作。 在第一种情况下，只有您的ISP可以帮助您。在第二种情况下，你需要解决什么，那就是阻止你进入互联网。 如果您只有在部分尝试访问的网站中出现此问题，那就很可能是一个问题，即这些网站之一，其设备故障或超载。联系网站的管理员。

==========
一些运行在Nginx上的网站有时候会出现“502 Bad Gateway”错误，有些时候甚至频繁的出现。以下是从Google搜集整理的一些Nginx 502错误的排查方法，供参考：

Nginx 502错误的原因比较多，是因为在代理模式下后端服务器出现问题引起的。这些错误一般都不是nginx本身的问题，一定要从后端找原因！但nginx把这些出错都揽在自己身上了，着实让nginx的推广者备受置疑，毕竟从字眼上理解，bad gateway？不就是bad nginx吗？让不了解的人看到，会直接把责任推在nginx身上，希望nginx下一个版本会把出错提示写稍微友好一些，至少不会是现在简单的一句 502 Bad Gateway，另外还不忘附上自己的大名。

Nginx 502的触发条件

502错误最通常的出现情况就是后端主机当机。在upstream配置里有这么一项配置：proxy_next_upstream，这个配置指定了 nginx在从一个后端主机取数据遇到何种错误时会转到下一个后端主机，里头写上的就是会出现502的所有情况拉，默认是error timeout。error就是当机、断线之类的，timeout就是读取堵塞超时，比较容易理解。我一般是全写上的：

proxy_next_upstream error timeout invalid_header http_500 http_503;不过现在可能我要去掉http_500这一项了，http_500指定后端返回500错误时会转一个主机，后端的jsp出错的话，本来会打印一堆 stacktrace的错误信息，现在被502取代了。但公司的程序员可不这么认为，他们认定是nginx出现了错误，我实在没空跟他们解释502的原理 了……

503错误就可以保留，因为后端通常是apache resin，如果apache死机就是error，但resin死机，仅仅是503，所以还是有必要保留的。

解决办法

遇到502问题，可以优先考虑按照以下两个步骤去解决。

1、查看当前的php FastCGI进程数是否够用：

netstat -anpo | grep "php-cgi" | wc -l如果实际使用的“FastCGI进程数”接近预设的“FastCGI进程数”，那么，说明“FastCGI进程数”不够用，需要增大。

2、部分PHP程序的执行时间超过了Nginx的等待时间，可以适当增加nginx.conf配置文件中FastCGI的timeout时间，例如：

......
http
{
......
fastcgi_connect_timeout 300;
fastcgi_send_timeout 300;
fastcgi_read_timeout 300;
......
}
......php.ini中memory_limit设低了会出错，修改了php.ini的memory_limit为64M，重启nginx，发现好了，原来是PHP的内存不足了。

如果这样修改了还解决不了问题，可以参考下面这些方案：

一、max-children和max-requests

一台服务器上运行着nginx php(fpm) xcache，访问量日均 300W pv左右

最近经常会出现这样的情况： php页面打开很慢，cpu使用率突然降至很低，系统负载突然升至很高，查看网卡的流量，也会发现突然降到了很低。这种情况只持续数秒钟就恢复了

检查php-fpm的日志文件发现了一些线索

Sep 30 08:32:23.289973 [NOTICE] fpm_unix_init_main(), line 271: getrlimit(nofile): max:51200, cur:51200
Sep 30 08:32:23.290212 [NOTICE] fpm_sockets_init_main(), line 371: using inherited socket fd=10, “127.0.0.1:9000″
Sep 30 08:32:23.290342 [NOTICE] fpm_event_init_main(), line 109: libevent: using epoll
Sep 30 08:32:23.296426 [NOTICE] fpm_init(), line 47: fpm is running, pid 30587在这几句的前面，是1000多行的关闭children和开启children的日志

原来，php-fpm有一个参数 max_requests，该参数指明了，每个children最多处理多少个请求后便会被关闭，默认的设置是500。因为php是把请求轮询给每个 children，在大流量下，每个childre到达max_requests所用的时间都差不多，这样就造成所有的children基本上在同一时间 被关闭。

在这期间，nginx无法将php文件转交给php-fpm处理，所以cpu会降至很低(不用处理php，更不用执行sql)，而负载会升至很高(关闭和开启children、nginx等待php-fpm)，网卡流量也降至很低(nginx无法生成数据传输给客户端)

解决问题很简单，增加children的数量，并且将 max_requests 设置未 0 或者一个比较大的值：

打开 /usr/local/php/etc/php-fpm.conf

调大以下两个参数(根据服务器实际情况，过大也不行）

<value name=”max_children”>5120</value>
<value name=”max_requests”>600</value>然后重启php-fpm。

二、增加缓冲区容量大小

将nginx的error log打开，发现“pstream sent too big header while reading response header from upstream”这样的错误提示。查阅了一下资料，大意是nginx缓冲区有一个bug造成的,我们网站的页面消耗占用缓冲区可能过大。参考老外写的修 改办法增加了缓冲区容量大小设置，502问题彻底解决。后来系统管理员又对参数做了调整只保留了2个设置参数：client head buffer，fastcgi buffer size。

三、request_terminate_timeout

如果主要是在一些post或者数据库操作的时候出现502这种情况，而不是在静态页面操作中常见，那么可以查看一下php-fpm.conf设置中的一项：

request_terminate_timeout

这个值是max_execution_time，就是fast-cgi的执行脚本时间。

0s

0s为关闭，就是无限执行下去。（当时装的时候没仔细看就改了一个数字）

发现，问题解决了，执行很长时间也不会出错了。

优化fastcgi中，还可以改改这个值5s 看看效果。

php-cgi进程数不够用、php执行时间长、或者是php-cgi进程死掉，都会出现502错误。

原文：http://www.ha97.com/4004.html

---★ 本文转摘自‘IT学习者’→ http://www.itlearner.com/article/4814

② 服务器和网站老是容易被黑被入侵是哪些原因

作为服务器和网站管理员，遭遇黑客入侵是不可避免的事情。很多管理员处理黑客入侵问题时，仅是安装一套防护软件，杀掉几个网页木马。这是治标不治本的办法，无法彻底解决安全问题，后期还会被黑客反复入侵。
一、与个人电脑的安全区别
对于个人电脑，安装一套杀毒软件就能解决99%的安全问题。然而服务器和个人电脑在安全方面有着天壤之别。
个人电脑因为在内网，黑客无法主动发现。一般只会在浏览网站或安装软件时被植入了木马程序，只要成功杀掉这个木马程序，电脑就安全了。
而针对服务器和网站的攻击，属于主动式攻击，敌人在暗处，我在明处。黑客找准目标后，为了突破防线，会尝试各种攻击手段。此时仅靠一套防护软件，无法应对多样化、复杂化的网络攻击，唯有做针对性的安全防护才能彻底解决安全问题。

二、为什么会被反复入侵
很多管理员把服务器和网站安全想得太过于简单，以为安装一套杀毒软件，再杀掉几个网页木马，服务器就安全了。这只能治标，不能治本。之所以会被入侵，是因为系统有漏洞；不解决漏洞永远无法根除安全威胁，黑客还会继续利用这个漏洞反复实施入侵。唯有从根本上解决漏洞问题，才能有效解决入侵问题。

三、如何彻底解决安全威胁
服务器一般有三大漏洞体系：系统漏洞、软件漏洞和网站漏洞。
要打造安全的服务器，就必须解决这三方面的安全威胁。

1、系统漏洞加固
操作系统出厂时，厂商为了兼容性，不会对系统做严格的安全限制，因此需要做一些安全加固，方可防止黑客入侵。
系统加固主要有以下流程：更新系统补丁、禁用危险服务、卸载危险组件、删除危险权限、开启防火墙、设置复杂密码。
具体操作方法请点这里：https://www.hws.com/solution/xitong.html

2、软件漏洞加固
常用的Apache、Nginx、Tomcat、MySQL、SQL Server、Serv-U等大部分服务器软件，都存在安全隐患，需要进行安全加固。
可通过“降权”或“访问行为限制”两种办法解决，具体操作方法请点这里：https://www.hws.com/solution/ruanjian.html

3、网站安全加固
几乎所有网站都存在漏洞，网站漏洞也是黑客最常用的入侵途径，因此做好网站安全加固刻不容缓。之所以网站普遍存在漏洞，一是大部分开发人员只注重功能和时间，不会在安全方面多加考虑；二是他们也没有安全防护技术和经验。

1）、网站漏洞类型
网站漏洞主要有下几种：SQL注入、在线上传、跨站入侵、Cookies欺骗、暴力破解，详细了解请点这里：https://www.hws.com/solution/wangzhan.html

2）、网站漏洞处理
修复漏洞无疑是最好的办法，但这只能是奢想，有程序的地方就有漏洞，修复了一个漏洞，往往引出几个新的漏洞。因此部署安全防护系统成为必然之选。

4、部署安全产品
每台服务器放置的内容都不一样，存在的安全威胁也不一样，只有通过“软件+服务”组合的方式，才能最大限度提升服务器安全。
推荐部署“护卫神·高级安全防护”，工程师为您定制安全防护策略，杜绝所有网站漏洞，免疫所有网页木马。系统还会在黑客入侵的每一个环节进行拦截，通过远程监控、用户监控、进程监控、篡改保护、网站加固、木马查杀、SQL注入防护等模块，将一切不速之客拒之门外。

总而言之，安全无小事，提前做好防护很重要，不要等到被入侵了才后悔莫及。

③ nginx可以防止sql注入吗

防御原理：
1. 通过以上配置过滤基本的url中的注入关键字；
2. 当然，数据库中的用户密码得加密存放 ；
3. php程序进行二次过滤，过滤GET和POST变量中的关键字；
4. 生产环境关闭PHP和MySQL的错误信息。
SQL注入攻击一般问号后面的请求参数，在nginx用$query_string表示

④ SpringBoot 防止SQL注入、XSS攻击、CSRF/CROS恶意访问

一、SQL 注入问题

SQL 注入即是指 web 应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在 web 应用程序中事先定义好的查询语句的结尾上添加额外的 SQL 语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

简单来说，就是将大部分 SQL 语句当参数传入系统中，从而获取系统中的数据。下面简单举例说明

系统中有这样一条信息 SQL 语句执行，分页查询所有用户，每页查询 20 条，并且根据指定字段进行排序，也就是说排序字段也是参数传递过来的

SQL 注入问题分析：

这样很简单的一句话 SQL，就可以把系统搞炸掉，这种方式可以实现删库跑路

以上语句会把整个 test 数据库所有内容都删掉

尽量用预编译机制，少用字符串拼接的方式传参，它是 sql 注入问题的根源。

有些特殊字符，比如：%作为 like 语句中的参数时，要对其进行转义处理。

需要对所有的异常情况进行捕获，切记接口直接返回异常信息，因为有些异常信息中包含了 sql 信息，包括：库名，表名，字段名等。攻击者拿着这些信息，就能通过 sql 注入随心所欲地攻击你的数据库了。目前比较主流的做法是，有个专门的网关服务，它统一暴露对外接口。用户请求接口时先经过它，再由它将请求转发给业务服务。这样做的好处是：能统一封装返回数据的返回体，并且如果出现异常，能返回统一的异常信息，隐藏敏感信息。此外还能做限流和权限控制。

使用 sqlMap 等待代码检测工具，它能检测 sql 注入漏洞。

需要对数据库 sql 的执行情况进行监控，有异常情况，及时邮件或短信提醒。

对生产环境的数据库建立单独的账号，只分配 DML 相关权限，且不能访问系统表。切勿在程序中直接使用管理员账号。

建立代码 review 机制，能找出部分隐藏的问题，提升代码质量。

对于不能使用预编译传参时，要么开启 druid 的 filter 防火墙，要么自己写代码逻辑过滤掉所有可能的注入关键字。

XSS 攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是 javaScript，但实际上也可以包括 Java、 VBScript、ActiveX、 Flash 或者甚至是普通的 HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和 cookie 等各种内容。

通常情况下，被用来盗用 Cookie、破坏页面结构、重定向到其他网站等

对用户输入的表单信息进行检测过滤

CSRF - Cross-Site Request Forgery - 跨站请求伪造:

攻击可以在受害者毫不知情的情况下以受害者名义伪造请求发送给受攻击站点，从而在未授权的情况下执行在权限保护之下的操作，CORS - Cross Origin Resourse-Sharing - 跨站资源共享，恶意访问内网敏感资源。

有效的解决办法是通过多种条件屏蔽掉非法的请求，例如 HTTP 头、参数等：

防止大规模的恶意请求，niginx 反向代理可以配置请求频率，对 ip 做限制。nginx 可以很方便地做访问控制，特别是一些偶发性的大量恶意请求，需要屏蔽处理。

屏蔽 ip 地址

屏蔽 user-agent

屏蔽代理 ip

有两种情形会需要屏蔽代理 ip：一是代理 ip 访问，二是负载均衡（real-ip 请求负载均衡服务器，再代理给后端 server）

创建 包装器，这是实现 XSS 过滤的关键，在其内重写了 getParameter，getParameterValues，getHeader 等方法，对 http 请求内的参数进行了过滤

⑤ sql 注入是什么

SQL注入是一种注入攻击，可以执行恶意SQL语句。它通过将任意SQL代码插入数据库查询，使攻击者能够完全控制Web应用程序后面的数据库服务器。攻击者可以使用SQL注入漏洞绕过应用程序安全措施;可以绕过网页或者Web应用程序的身份验证和授权，并检索整个SQL数据库的内容;还可以使用SQL注入来添加，修改和删除数据库中的记录。
SQL注入漏洞可能会影响使用SQL数据库的任何网站或Web应用程序。犯罪分子可能会利用它来未经授权访问用户的敏感数据：客户信息，个人数据，商业机密，知识产权等。虽然最古老，但非常流行，也是最危险的Web应用程序漏洞之一。

⑥ nginx与奇安信SWG的区别

nginx是用C语言写的，自定义扩展的话，要么写C要么写luaSWG是java语言的一个框架，
可以在框架上进行代码的扩展与控制，例如：安全控制，统一异常处理，XXS,SQL注入等；权限控制，黑白名单，性能监控，日志打印等；SWG的主要功能有，路由，断言，过滤器，利用它的这些特性，可以做流控。nginx做网关，更多的是做总流量入口，反向代理，负载均衡等，还可以用来做web服务器。

⑦ nginx防止sql注入

防止sql注入最好的办法是对于提交后台的所有数据都进行过滤转义。
对于简单的情况，比如包含单引号'
,
分号;,
<,
>,
等字符可通过rewrite直接重订向到404页面来避免。
用rewrite有个前提需要知道，一般用rewrite进行正则匹配只能匹配到网页的URI，也就是url中?前部分，?以后部分是请求参数。
问号后面的请求参数，在nginx用$query_string表
示，不能在rewrite中匹配到，需要用if判断
例如，对于参数中带有单引号的'进行匹配然后定向到错误页面，
/plus/list.php?tid=19&mid=1124'
rewrite
^.*([;'<>]).*
/error.html
break;
直接写这样的一条重写肯定不会正确匹配，因为rewrite参数只会匹配请求的uri，也就是/plus/list.php部分。
需要使用$query_string
借助if进行判断，如果查询串种包含特殊字符，返回404。
if
(
$query_string
~*
".*[;'<>].*"
){
return
404;
}