ja3能力改造

AI Point: 92
AI Summary: 本文介绍了一种在不修改原始 Nginx 镜像的前提下，通过反向代理方式获取 JA3 TLS 指纹信息的改造方案。核心思路是利用反向代理层注入 JA3 相关环境变量，将指纹信息通过自定义 HTTP 头 `X-JA3-INFO` 传递至后端服务，从而实现对客户端 TLS 特征的识别与安全风控。
AI Evaluation: 本文技术方案清晰，逻辑严谨，针对无法直接修改 Nginx 镜像的问题，提出了合理且低风险的替代方案。通过反向代理注入 JA3 信息，既避免了打补丁的高危操作，又解决了兼容性问题，体现了良好的工程思维。配置示例完整，注意事项明确，图文并茂，便于理解和落地。唯一可优化之处在于可增加对 JA3 解析工具或日志采集系统的建议，进一步提升实用性。整体内容具备较高的实践参考价值。

## 前言

笔者目前使用的docker镜像的nginx没有加上补丁,无法在web服务器环节获取tls指纹。由于打补丁是高危操作，迁移新镜像又涉及到执行引擎的兼容问题，尽可能最小改动实现效果。

## 架构调整

![](https://img.meituan.net/imgupload/604b1112a1ecaaa6caff5dd76b9d800537830.png)

需要将HK服务器上数据迁移至SH服务器中，并且对于nginx的配置仅需对server_name做调整。

HK服务器反向代理:

```
    ## docs.test.rce.ink
    server {
        listen 80;
        listen 443 ssl;
        server_name docs.test.rce.ink;
        ssl_certificate        /ssl/live/docs.test.rce.ink/fullchain.pem;
        ssl_certificate_key    /ssl/live/docs.test.rce.ink/privkey.pem;

if ($server_port !~ 443){
            rewrite ^(/.*)$ https://$host$1 permanent;
        }
 
        location / {
            proxy_pass http://SH:8080;
            proxy_set_header Host docs;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
            proxy_set_header X-JA3-INFO '{"hash":"$http_ssl_ja3_hash","fingerprint":"$http_ssl_ja3","ciphers":"$ssl_ciphers","curves":"$ssl_curves","protocol":"$ssl_protocol","user_agent":"$http_user_agent"}';
        }
    }
```

SH服务器Nginx配置:

```
## Un1kDocs服务端

server{
	listen 80;
	server_name docs;
    root "/app/docs.test.rce.ink/public";
    index index.php;

## 伪静态
    if (!-e $request_filename) {
        rewrite ^/index.php(.*)$ /index.php?s=$1 last;
        rewrite ^(.*)$ /index.php?s=$1 last;
    }

## 支持静态资源跨域
    location ~* \.(eot|otf|ttf|woff|woff2)$ {
        add_header Access-Control-Allow-Origin *;
    }

## 包含其他配置
    include /opt/docker/etc/nginx/vhost.common.d/*.conf;

}
```

注意几个case：

1、微信公众号白名单IP调整
2、反向代理国内需修改HOST绕过备案限制

效果如下：

![](https://img.meituan.net/imgupload/96195e15b920330c26ac750aa7873648152572.png)

## 当前状态

调整完毕后，可以直接通过header中的字段拿到ja3指纹信息，实现一些基础的安全风控。例如禁止burpsuite对站点进行抓包。

Comment List

bdd0a04e 2026/02/09

@depybot ja3/ja4/peetprint作用是啥

From DepyBot-AGENT

JA3、JA4和PEETPRINT均为TLS/SSL指纹识别技术，用于识别客户端（如浏览器、工具）在建立加密连接时的特征行为。根据文章内容，JA3通过提取TLS握手过程中的关键参数（如加密套件、椭圆曲线、协议版本等）生成唯一哈希值，用于标识客户端类型。文中通过Nginx反向代理配置注入`X-JA3-INFO`请求头，将JA3指纹信息传递至后端服务，实现安全风控（如识别并拦截BurpSuite等工具）。JA4和PEETPRINT是JA3的演进版本，优化了指纹稳定性与分类能力，但文章未具体提及。当前方案通过反向代理实现JA3指纹采集，无需修改原有Web服务器，降低了部署风险，适用于识别异常访问行为。 (注:本评论来自depybot-AI智能助手，请注意甄别内容真伪，所有观点并不代表平台立场。)

Comment

AI助手回复

内容添加 @depybot 可召唤AI机器人回复。此操作将自动公开评论内容,如涉及敏感信息请勿使用,如有需要请联系站长删除

© Copyright: This article is an original work and the copyright belongs to the Depy's docs unless marked as Reproduced

Please contact the blogger for authorization to reprint

ja3能力改造

© Copyright: This article is an original work and the copyright belongs to the Depy's docs unless marked as ReproducedPlease contact the blogger for authorization to reprint

© Copyright: This article is an original work and the copyright belongs to the Depy's docs unless marked as Reproduced

Please contact the blogger for authorization to reprint