xjpvictor's Blog | 小老鼠，上灯台，两只耳朵竖起来

HTTPS

ANÁLISIS_OBJETIVO

blog.xjpvictor.info

IP: 192.81.130.130

ASN: AS63949

Un informe completo de análisis de seguridad y red para blog.xjpvictor.info. Servidor: nginx. Alojado en SG.

Puerto Principal: 443
Tiempo de Escaneo: 8/1/2025, 12:16:08 AM
Enlace de Informe Compartible: https://sechttp.com/scan/blog.xjpvictor.info

Análisis de Seguridad Detallado

Análisis de Ruta de Ataque y Defensa contra DDoS

Atacante

Tráfico L4

Tráfico L7

AS63949 (nginx POP)

L4 Defendido

L7 Evadido

L4 Bloqueado

Tráfico L7

Su Servidor

Resumen de Defensa

Aunque nginx proporciona una protección robusta contra ataques de capa 4 (nivel de red), su servidor sigue siendo potencialmente vulnerable a ataques sofisticados de capa 7 (nivel de aplicación) que pueden eludir las defensas estándar de CDN. Se recomiendan reglas WAF adicionales y medidas de seguridad en el lado de la aplicación.

Defensa de Capa 4

nginx proporciona una protección robusta contra inundaciones SYN, amplificación UDP y ataques volumétricos en el borde de la red.

Vulnerabilidades de Capa 7

Los ataques de capa de aplicación dirigidos a puntos finales de API expuestos de 0 requieren reglas WAF adicionales y limitación de velocidad.

Divulgación de Información del Servidor

LOW

INFO-001

Descripción

El servidor está divulgando su tipo de software: nginx. Esto puede ayudar a los atacantes a identificar vulnerabilidades potenciales.

Recomendación

Configure su servidor web para ocultar o modificar el encabezado Server para evitar la divulgación de información.

Encabezado X-Frame-Options Faltante

MEDIUM

SEC-002

Descripción

El sitio no está protegido contra ataques de clickjacking.

Recomendación

Agregue el encabezado X-Frame-Options con el valor 'DENY' o 'SAMEORIGIN' para prevenir el clickjacking.

Exposición de Información Sensible en JavaScript

HIGH

JS-001

Descripción

Se encontraron 27 variables potencialmente sensibles expuestas en el código JavaScript del lado del cliente.

Recomendación

Revise y elimine la información sensible del código del lado del cliente. Use variables de entorno y procesamiento del lado del servidor para datos sensibles.

Actualmente en Pruebas

No hay datos de fuzzing disponibles para este escaneo.

Resultados del Escaneo de Puertos

   Puerto Servicio Estado Versión 
HTTP  CERRADO   -  
HTTPS  ABIERTO   TLS 1.3  
SSH  FILTRADO   -  
MySQL  CERRADO   -  
  

Puerto	Servicio	Estado	Versión
80	HTTP	CERRADO	-
443	HTTPS	ABIERTO	TLS 1.3
22	SSH	FILTRADO	-
3306	MySQL	CERRADO	-

Análisis de Encabezados HTTP

date: Fri, 01 Aug 2025 00:16:03 GMT 
vary: Accept-Encoding, Accept-Encoding, Cookie 
pragma: cache 
server: nginx 
expires: Tue, 05 Aug 2025 20:49:43 GMT 
connection: keep-alive 
content-type: text/html; charset=UTF-8 
cache-control: max-age=604800 
transfer-encoding: chunked 
x-content-type-options: nosniff 
strict-transport-security: max-age=31536000; includeSubDomains; preload 

Información ASN

ASN: AS63949

Dirección IP: 192.81.130.130

Prefijo de Red: 192.81.128.0/21

Organización: AKAMAI-LINODE-AP

País:

🇸🇬 SG

Nombre: AKAMAI-LINODE-AP

Proveedores Ascendentes (10)

AS20940

AKAMAI-ASN1

Akamai International B.V.

🇳🇱 NL

upstream

AS6939

HURRICANE

Hurricane Electric LLC

🇺🇸 US

upstream

AS9498

BBIL-AP

BHARTI Airtel Ltd.

🇮🇳 IN

upstream

AS174

COGENT-174

Cogent Communications

🇺🇸 US

upstream

AS32787

PROLEXIC-TECHNOLOGIES-DDOS-MITIGATION-NETWORK

Akamai Technologies, Inc.

🇺🇸 US

upstream

AS20940

AKAMAI-ASN1

Akamai International B.V.

🇳🇱 NL

upstream

AS6939

HURRICANE

Hurricane Electric LLC

🇺🇸 US

upstream

AS9498

BBIL-AP

BHARTI Airtel Ltd.

🇮🇳 IN

upstream

AS174

COGENT-174

Cogent Communications

🇺🇸 US

upstream

AS32787

PROLEXIC-TECHNOLOGIES-DDOS-MITIGATION-NETWORK

Akamai Technologies, Inc.

🇺🇸 US

upstream

Puntos de Intercambio de Internet (26)

🇩🇪

DE-CIX Frankfurt

300 Gbps

Bandwidth

🇩🇪

DE-CIX Frankfurt

300 Gbps

Bandwidth

🇺🇸

DE-CIX New York

50 Gbps

Bandwidth

🇺🇸

NYIIX New York

100 Gbps

Bandwidth

🇸🇬

Equinix Singapore

100 Gbps

Bandwidth

🇺🇸

Equinix Dallas

100 Gbps

Bandwidth

🇬🇧

LINX LON1

100 Gbps

Bandwidth

🇬🇧

LONAP

100 Gbps

Bandwidth

🇯🇵

BBIX Tokyo

100 Gbps

Bandwidth

🇺🇸

Equinix San Jose

100 Gbps

Bandwidth

🇺🇸

SFMIX

100 Gbps

Bandwidth

🇨🇦

TorIX

100 Gbps

Bandwidth

🇮🇳

DE-CIX Mumbai

20 Gbps

Bandwidth

🇦🇺

Equinix Sydney

20 Gbps

Bandwidth

🇺🇸

Any2West

100 Gbps

Bandwidth

🇩🇪

DE-CIX Munich

10 Gbps

Bandwidth

🇩🇪

DE-CIX Hamburg

10 Gbps

Bandwidth

🇩🇪

DE-CIX Dusseldorf

10 Gbps

Bandwidth

🇦🇺

EdgeIX - Sydney

100 Gbps

Bandwidth

🇺🇸

CIX-ATL

100 Gbps

Bandwidth

🇯🇵

JPIX TOKYO

100 Gbps

Bandwidth

🇸🇬

SGIX

100 Gbps

Bandwidth

🇨🇦

ONIX

100 Gbps

Bandwidth

🇮🇳

NIXI Mumbai

20 Gbps

Bandwidth

🇺🇸

Digital Realty Atlanta

100 Gbps

Bandwidth

🇺🇸

DE-CIX Dallas

100 Gbps

Bandwidth

Análisis de JavaScript

Security Analysis Alert

Client-side code analysis has identified potential security vulnerabilities and information disclosure risks.

Variables de JavaScript Expuestas

27 Found

Variables exposed in client-side code that may contain sensitive information

# Security Assessment: Variable Exposure Analysis
 
LEAK
 
key
 qid 

Risk: Information disclosure via client-side exposure
 
LEAK
 
url
 f 

Risk: Information disclosure via client-side exposure
 
LEAK
 
client
 we 

Risk: Information disclosure via client-side exposure
 
LEAK
 
cookie
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
domain
 void 

Risk: Information disclosure via client-side exposure
 
LEAK
 
apiVersion
 2.2 

Risk: Information disclosure via client-side exposure
 
LEAK
 
side_rails
 7 

Risk: Information disclosure via client-side exposure
 
LEAK
 
credentials
 include 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Vi.side_rails
 7 

Risk: Information disclosure via client-side exposure
 
LEAK
 
createScriptURL
 b 

Risk: Information disclosure via client-side exposure
 
LEAK
 
google_ad_client
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
image_sidebyside
 0 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mobile_banner_image_sidebyside
 0 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.pub_control_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Eo.pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.pub_control_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mo.pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.mobile_banner_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.mobile_banner_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.pub_control_image_card_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Eo.pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.pub_control_image_card_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mo.pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
Total: 27 exposed variables found

Análisis de Dominios API

3 Domains

External API domains discovered in client-side code

EXTERNAL_API_DOMAIN

pagead2.googlesyndication.com

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

EXTERNAL_API_DOMAIN

googleads.g.doubleclick.net

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

EXTERNAL_API_DOMAIN

adsense.com

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

Recursos de JavaScript

4 Files

JavaScript files loaded by the application

//pagead2.googlesyndication.com/pagead/js/adsbygoogle.js

https://piwik.onemole.net/showads.js

"//pagead2.googlesyndication.com/pagead/js/adsbygoogle.js"

"https://piwik.onemole.net/showads.js"

Recomendaciones de Seguridad

• Avoid exposing sensitive variables in client-side code
• Implement proper API authentication and rate limiting
• Use environment variables for sensitive configuration
• Regularly audit client-side code for information leaks
• Minimize the amount of sensitive data processed on the client side

Registros de Escaneos Históricos (1)