Bahaya Salah Konfigurasi Default Root Nginx

Nginx merupakan salah satu web server paling populer di dunia. Banyak digunakan karena pengunaan memory yang ringan dan kecepatannya. Karena banyak yang menggunakannya maka ada banyak orang yang menulis tutorial cara install dan konfigurasi nginx ini.

Jika anda copy paste konfigurasi dari blog atau tutorial, coba di periksa apakah konfigurasi anda bermasalah cara ini.

Di nginx bila tidak ada block server yang menggunakan default_server di listen, kurang lebih serperti

listen 80 default_server;

maka default server anda adalah yang berdasarkan abjad, misalkan ada memiliki konfigurasi

x.org.conf
x.com.conf
superapps.jaranguda.com.conf
t.org.conf

maka default server anda adalah superapps.jaranguda.com.conf.

Contoh Kesalahan

Ada beberapa distro yang membuat default vhost/server block dengan nama 000-default seperti dibawah ini

server {
    listen 80 default_server;
    server_name _;
    root /var/www/;
    index index.html;
}

hal tersebut menjadi berbahaya bila anda membuat root direktori dibawah /var/www/, contoh

/var/www/x.org
/var/www/x.com
/var/www/superapps.jaranguda.com
/var/www/t.org

Contoh Kasus

Contoh anda punya script PHP index.php di /var/www/superapps.jaranguda.com
Bila user memanggil IP-SERVER/superapps.jaranguda.com/index.php
script index.php tersebut akan otomatis terdownload.
Tapi ada hal yang harus diketahui :
– nama domain/subdomain yang dihosting di IP yang sama
– nama script atau file (biasanya index.php)
Buka di browser http://IP-SERVER/superapps.jaranguda.com/index.php
atau dengan curl di terminal

> curl http://IP-SERVER/superapps.jaranguda.com/index.php
<?php
echo "ini script super rahasia"

Solusi

Solusi atas masalah ini adalah ganti root server_name _ menjadi /var/www/empty, atau folder lainnya asalkan anda tidak meletakkan data web anda didalam subfoldernya, seperti dicontohkan diatas.