如何配置 Nginx 错误日志实现对非法 HTTP 方法探测行为的实时拦截记录-Nginx-PHP中文网

应配置nginx通过if+return拦截非法http方法（如trace、track、debug）并返回405或444，同时用map与access_log条件记录至独立日志，辅以ua和header特征增强识别，并结合logrotate与轻量脚本实现审计告警。

如何配置 nginx 错误日志实现对非法 http 方法探测行为的实时拦截记录

要实现对非法 HTTP 方法探测行为的实时拦截与记录，核心不是单纯配置错误日志，而是结合 请求过滤 + 自定义日志 + 状态码控制，让 Nginx 主动拒绝非常规方法（如 OPTIONS、TRACE、TRACK、DEBUG 等），同时将这类拒绝行为明确记录到独立日志中，便于审计和告警。

限制允许的 HTTP 方法并返回明确拒绝状态

Nginx 本身不内置“非法方法黑名单”，需用 if + return 显式拦截。推荐在 server 或 location 块中添加：

只允许常见安全方法：GET、HEAD、POST、PUT、DELETE、PATCH
对其他方法统一返回 405 Method Not Allowed（语义准确）或 444（直接关闭连接，更隐蔽）

示例配置：

if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|PATCH)$) {
    return 405;
}

将非法方法请求单独记录到专用访问日志

错误日志（error_log）默认不记录 4xx 请求详情；应使用 access_log 配合 log_format 和 map 实现条件记录：

用 map 定义变量，标记是否为非法方法请求
在 log_format 中加入该变量及关键字段（如时间、IP、方法、URI、状态码）
在 server 块中用 access_log ... if=$illegal_method 实现仅记录匹配项

示例：

map $request_method $illegal_method {
    default         0;
    TRACE           1;
    TRACK           1;
    DEBUG           1;
    OPTIONS         0;  # 可选：放行 OPTIONS（CORS 需要）
    GET             0;
    HEAD            0;
    POST            0;
    PUT             0;
    DELETE          0;
    PATCH           0;
}
<p>log_format illegal_method '$time_local | $remote_addr | $request_method | $uri | $status | $http_user_agent';</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting"><img
														src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="overflowclass">Nginx Hosting</a>
													<p class="overflowclass">通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div><p>access_log /var/log/nginx/illegal-method.log illegal_method if=$illegal_method;</p>

增强识别：补充常见扫描特征与 UA 过滤

攻击者常混用非常规方法与可疑 User-Agent（如 sqlmap、nmap、nikto）或异常 Header。可叠加判断提升检出率：

检查 $http_user_agent 是否含已知扫描器关键词
检查是否携带 X-Forwarded-For 异常或空 Host 头
组合条件时建议用 map 合并逻辑，避免多层 if（Nginx 中 if 在 location 外不支持嵌套）

例如扩展 map：

map "$request_method:$http_user_agent" $scan_attempt {
    ~^(TRACE|TRACK|DEBUG):.*(?:sqlmap|nikto|nmap|acunetix)  1;
    ~^(TRACE|TRACK|DEBUG):.*  1;
    default 0;
}