nginx 反向代理 securitymetrics 警告

Question

您好，我们从安全指标 PCI 合规性扫描中收到此警告。有什么方法可以修复此问题吗？

TCP 80 http

描述：HTTP 反向代理检测

概要：此端口上正在运行透明或反向 HTTP 代理。

影响：可以通过反向 HTTP 代理访问此 Web 服务器。

收到的数据：到此 Web 服务器的途中可能存在缓存代理：来自后端的命中

解决：无

风险因素：中等/ CVSS2 基本分数：5.8

（AV：N/AC：M/Au：N/C：P/I：P/A：N）CVE：CVE-2004-2320 其他 CVE：CVE-2007-3008 CVE-2005-3498 CVE-2005-3398 [更少]

Answer 1

这个警告很愚蠢，甚至荒谬至极。你可以引用我的话。给出的 CVE 与警告描述的情况完全无关，对我来说，它最能说明的是供应商不称职的可能性很大。你也可以引用我的话。

无论如何，“问题”在于您的 nginx 配置明确添加了一个看似不必要的标头，该标头提供了有关您的反向代理、fastcgi 或缓存配置的少量信息（除非您正在调试服务器，否则几乎毫无价值）。如果您搜索 nginx 配置，最终会找到它：

      add_header X-Cache "HIT from Backend";

删除它应该可以解决这个“问题”。

在不知道服务器配置具体用途的情况下，不要盲目地从互联网上复制它，这也是一个好主意；这个特定的部分已经被广泛复制，而我找不到任何关于其用途的解释。

您还可以告诉供应商他们需要修复这个测试，因为它产生了误报。