xjpvictor's Blog | 小老鼠，上灯台，两只耳朵竖起来

HTTPS

ANALYSE_CIBLE

blog.xjpvictor.info

IP : 192.81.130.130

ASN : AS63949

Un rapport complet d'analyse de sécurité et de réseau pour blog.xjpvictor.info. Serveur : nginx. Hébergé en SG.

Port principal: 443
Temps de scan: 8/1/2025, 12:16:08 AM
Lien de rapport partageable: https://sechttp.com/scan/blog.xjpvictor.info

Analyse de sécurité détaillée

Analyse des chemins d'attaque et de défense contre les DDoS

Attaquant

Trafic L4

Trafic L7

AS63949 (nginx POP)

L4 défendu

L7 contourné

L4 bloqué

Trafic L7

Votre serveur

Résumé de la défense

Bien que nginx offre une protection robuste contre les attaques de couche 4 (niveau réseau), votre serveur reste potentiellement vulnérable aux attaques sophistiquées de couche 7 (niveau application) qui peuvent contourner les défenses CDN standard. Des règles WAF supplémentaires et des mesures de sécurité côté application sont recommandées.

Défense de couche 4

nginx fournit une protection robuste contre les inondations SYN, l'amplification UDP et les attaques volumétriques à la périphérie du réseau.

Vulnérabilités de couche 7

Les attaques de couche application ciblant les points d'accès API exposés de 0 nécessitent des règles WAF supplémentaires et une limitation de débit.

Divulgation d'informations sur le serveur

LOW

INFO-001

Description

Le serveur divulgue son type de logiciel : nginx. Cela peut aider les attaquants à identifier des vulnérabilités potentielles.

Recommandation

Configurez votre serveur web pour masquer ou modifier l'en-tête Server afin d'éviter la divulgation d'informations.

En-tête X-Frame-Options manquant

MEDIUM

SEC-002

Description

Le site n'est pas protégé contre les attaques de clickjacking.

Recommandation

Ajoutez l'en-tête X-Frame-Options avec la valeur 'DENY' ou 'SAMEORIGIN' pour empêcher le clickjacking.

Exposition d'informations sensibles dans JavaScript

HIGH

JS-001

Description

Trouvé 27 variables potentiellement sensibles exposées dans le code JavaScript côté client.

Recommandation

Examinez et supprimez les informations sensibles du code côté client. Utilisez des variables d'environnement et un traitement côté serveur pour les données sensibles.

Test en cours

Aucune donnée de fuzzing disponible pour ce scan.

Résultats du scan de ports

   Port Service Statut Version 
HTTP  FERMÉ   -  
HTTPS  OUVERT   TLS 1.3  
SSH  FILTRÉ   -  
MySQL  FERMÉ   -  
  

Port	Service	Statut	Version
80	HTTP	FERMÉ	-
443	HTTPS	OUVERT	TLS 1.3
22	SSH	FILTRÉ	-
3306	MySQL	FERMÉ	-

Analyse des en-têtes HTTP

date: Fri, 01 Aug 2025 00:16:03 GMT 
vary: Accept-Encoding, Accept-Encoding, Cookie 
pragma: cache 
server: nginx 
expires: Tue, 05 Aug 2025 20:49:43 GMT 
connection: keep-alive 
content-type: text/html; charset=UTF-8 
cache-control: max-age=604800 
transfer-encoding: chunked 
x-content-type-options: nosniff 
strict-transport-security: max-age=31536000; includeSubDomains; preload 

Informations ASN

ASN: AS63949

Adresse IP: 192.81.130.130

Préfixe réseau: 192.81.128.0/21

Organisation: AKAMAI-LINODE-AP

Pays:

🇸🇬 SG

Nom: AKAMAI-LINODE-AP

Fournisseurs en amont (10)

AS20940

AKAMAI-ASN1

Akamai International B.V.

🇳🇱 NL

upstream

AS6939

HURRICANE

Hurricane Electric LLC

🇺🇸 US

upstream

AS9498

BBIL-AP

BHARTI Airtel Ltd.

🇮🇳 IN

upstream

AS174

COGENT-174

Cogent Communications

🇺🇸 US

upstream

AS32787

PROLEXIC-TECHNOLOGIES-DDOS-MITIGATION-NETWORK

Akamai Technologies, Inc.

🇺🇸 US

upstream

AS20940

AKAMAI-ASN1

Akamai International B.V.

🇳🇱 NL

upstream

AS6939

HURRICANE

Hurricane Electric LLC

🇺🇸 US

upstream

AS9498

BBIL-AP

BHARTI Airtel Ltd.

🇮🇳 IN

upstream

AS174

COGENT-174

Cogent Communications

🇺🇸 US

upstream

AS32787

PROLEXIC-TECHNOLOGIES-DDOS-MITIGATION-NETWORK

Akamai Technologies, Inc.

🇺🇸 US

upstream

Points d'échange Internet (26)

🇩🇪

DE-CIX Frankfurt

300 Gbps

Bandwidth

🇩🇪

DE-CIX Frankfurt

300 Gbps

Bandwidth

🇺🇸

DE-CIX New York

50 Gbps

Bandwidth

🇺🇸

NYIIX New York

100 Gbps

Bandwidth

🇸🇬

Equinix Singapore

100 Gbps

Bandwidth

🇺🇸

Equinix Dallas

100 Gbps

Bandwidth

🇬🇧

LINX LON1

100 Gbps

Bandwidth

🇬🇧

LONAP

100 Gbps

Bandwidth

🇯🇵

BBIX Tokyo

100 Gbps

Bandwidth

🇺🇸

Equinix San Jose

100 Gbps

Bandwidth

🇺🇸

SFMIX

100 Gbps

Bandwidth

🇨🇦

TorIX

100 Gbps

Bandwidth

🇮🇳

DE-CIX Mumbai

20 Gbps

Bandwidth

🇦🇺

Equinix Sydney

20 Gbps

Bandwidth

🇺🇸

Any2West

100 Gbps

Bandwidth

🇩🇪

DE-CIX Munich

10 Gbps

Bandwidth

🇩🇪

DE-CIX Hamburg

10 Gbps

Bandwidth

🇩🇪

DE-CIX Dusseldorf

10 Gbps

Bandwidth

🇦🇺

EdgeIX - Sydney

100 Gbps

Bandwidth

🇺🇸

CIX-ATL

100 Gbps

Bandwidth

🇯🇵

JPIX TOKYO

100 Gbps

Bandwidth

🇸🇬

SGIX

100 Gbps

Bandwidth

🇨🇦

ONIX

100 Gbps

Bandwidth

🇮🇳

NIXI Mumbai

20 Gbps

Bandwidth

🇺🇸

Digital Realty Atlanta

100 Gbps

Bandwidth

🇺🇸

DE-CIX Dallas

100 Gbps

Bandwidth

Analyse JavaScript

Security Analysis Alert

Client-side code analysis has identified potential security vulnerabilities and information disclosure risks.

Variables JavaScript exposées

27 Found

Variables exposed in client-side code that may contain sensitive information

# Security Assessment: Variable Exposure Analysis
 
LEAK
 
key
 qid 

Risk: Information disclosure via client-side exposure
 
LEAK
 
url
 f 

Risk: Information disclosure via client-side exposure
 
LEAK
 
client
 we 

Risk: Information disclosure via client-side exposure
 
LEAK
 
cookie
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
domain
 void 

Risk: Information disclosure via client-side exposure
 
LEAK
 
apiVersion
 2.2 

Risk: Information disclosure via client-side exposure
 
LEAK
 
side_rails
 7 

Risk: Information disclosure via client-side exposure
 
LEAK
 
credentials
 include 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Vi.side_rails
 7 

Risk: Information disclosure via client-side exposure
 
LEAK
 
createScriptURL
 b 

Risk: Information disclosure via client-side exposure
 
LEAK
 
google_ad_client
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
image_sidebyside
 0 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mobile_banner_image_sidebyside
 0 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.pub_control_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Eo.pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.pub_control_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mo.pub_control_image_sidebyside
 200 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.mobile_banner_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.mobile_banner_image_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Do.pub_control_image_card_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
Eo.pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
LEAK
 
lo.pub_control_image_card_sidebyside
 <empty_value> 

Risk: Information disclosure via client-side exposure
 
LEAK
 
mo.pub_control_image_card_sidebyside
 250 

Risk: Information disclosure via client-side exposure
 
Total: 27 exposed variables found

Analyse des domaines API

3 Domains

External API domains discovered in client-side code

EXTERNAL_API_DOMAIN

pagead2.googlesyndication.com

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

EXTERNAL_API_DOMAIN

googleads.g.doubleclick.net

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

EXTERNAL_API_DOMAIN

adsense.com

Reachable

HTTPS Enabled

Security Note:

External API domains should be validated for proper authentication and rate limiting

Ressources JavaScript

4 Files

JavaScript files loaded by the application

//pagead2.googlesyndication.com/pagead/js/adsbygoogle.js

https://piwik.onemole.net/showads.js

"//pagead2.googlesyndication.com/pagead/js/adsbygoogle.js"

"https://piwik.onemole.net/showads.js"

Recommandations de sécurité

• Avoid exposing sensitive variables in client-side code
• Implement proper API authentication and rate limiting
• Use environment variables for sensitive configuration
• Regularly audit client-side code for information leaks
• Minimize the amount of sensitive data processed on the client side

Historique des scans (1)