Nginx无法真正识别Webshell，但可作为轻量级防线：1. 拦截高危扩展名（需小写/解码/去空字节后匹配）；2. 限制Content-Type与上传大小；3. 阻断含“antSword”等指纹的User-Agent或异常参数；4. OpenResty可扫描危险函数特征，但性能开销大。
直接通过 Nginx 识别并精准拦截 Webshell 上传行为，**不现实**。Nginx 是高性能 HTTP 反向代理和 Web 服务器，它不具备深度内容解析、语法分析或行为建模能力，无法像专业 WAF 或沙箱那样理解 PHP/ASP/JSP 脚本逻辑、混淆特征或运行时行为。
但 Nginx 可以作为**第一道轻量级防线**，结合规则策略，有效拦截大量低级、模式化的 Webshell 上传尝试（尤其是利用文件上传接口植入的常见变种）。关键在于：聚焦可检测的**传输层与协议层异常信号**，而非试图“读懂”脚本内容。
1. 拦截高危文件名与扩展名组合
多数 Webshell 上传依赖服务端未严格校验文件后缀。Nginx 可在接收请求体前（upload 阶段）或转发前（proxy 阶段）阻断明显恶意文件名。
- 使用 map 指令预定义危险扩展名列表（如 .php, .phtml, .php3, .php4, .php5, .phar, .htaccess, .jsp, .jspx），配合 if + return 403 在 location 中拦截
- 注意：仅检查 $request_filename 或 $args 中的文件名参数（如 upload.php?file=shell.php）不够可靠；更有效的是在 client_body_temp_path 写入临时文件前，用 upload_pass_form_field（需 nginx-upload-module）或 Lua（OpenResty）提取表单字段中的 filename 值进行匹配
- 避免简单黑名单（如只禁 .php）——攻击者常用 .php.jpg、.pHp、.php%00.jpg 绕过；应统一转小写、去除空字节、解码 URL 编码后再比对
2. 限制上传内容类型与大小，缩小攻击面
Webshell 往往伴随异常 Content-Type 或超大体积（如带数据库导出或扫描器功能的 shell）。
- 用 client_max_body_size 限制单次请求体上限（如 2MB），远低于正常业务图片/文档上传需求，大幅减少载荷空间
- 在上传入口 location 中，用 if ($content_type !~ "^multipart/form-data") { return 403; } 拒绝非表单上传请求
- 若业务明确只允许图片，可进一步校验 $content_type 是否为 image/jpeg、image/png 等，并拒绝 application/octet-stream 或 text/plain
3. 阻断可疑请求头与参数特征
部分 Webshell 上传工具（如 AntSword、Behinder 客户端）会在请求中留下指纹式痕迹。
- 检查 User-Agent 是否含 “sqlmap”、“dirbuster”、“antSword”、“behinder”、“Godzilla” 等关键词，匹配即 return 403
- 监控 Referer 是否为空或来自非常规域名（如纯 IP、短链接域名），可配合 geo 模块做基础来源控制
- 对上传接口（如 /upload.php）启用严格参数白名单，用 if ($args !~ "^file=[^&]*&token=[a-zA-Z0-9]{32}$") { return 403; } 过滤非法参数结构
4. 结合 Lua/OpenResty 实现轻量级内容特征扫描（进阶）
纯 Nginx 配置能力有限，但 OpenResty（Nginx + Lua）可实现简单文本匹配，适合检测典型 Webshell 特征字符串。
- 在 access_by_lua_block 中读取 ngx.req.get_body_data()（需提前设置 client_body_buffer_size 和 client_max_body_size）
- 对上传的 multipart body 做正则扫描，如匹配 "@eval\("、"assert\("、"system\("、"passthru\("、"preg_replace.*\/e" 等 PHP 危险函数调用模式（注意避免误杀正常代码）
- 该方式性能开销明显，仅建议用于低流量管理后台或二级防护，生产环境需压测验证
真正可靠的 Webshell 防御必须分层：Nginx 做前置过滤，WAF（如 ModSecurity + OWASP CRS）做规则引擎检测，主机侧部署 HIDS（如 OSSEC、AIDE）监控文件变更，再配合定期人工审计与最小权限配置。把所有希望寄托在 Nginx 上，等于用门锁防导弹。
