[Вразливість безпеки] Запобігання атакам на заголовки хоста на веб-сервері

Шлях стрибка не визначається веб-проєктом, але автоматично перескакується проміжним програмним забезпеченням, тому його не можна виправити записанням статичних змінних, а глобальний фільтр у веб-проєкті не можна заблокувати. Потрібно налаштувати на рівні веб-сервера, щоб це виправити. Ось деякі поширені виправлення посилань на сервер, і якщо є якісь помилки чи недоліки, будь ласка, не соромтеся їх виправити.

Апачі:

Метод 1:

Змініть файл \conf\httpd.conf

Наприклад, модифікувати ServerName на доменне ім'я додатку

Просто перезапустіть Apache.

Якщо виправлення буде успішним, ви побачите, що серверна сторона використовуватиме встановлену назву ServerName.

Пояснення параметрів:

Змініть файл confhttpd.conf

Зверніться до наступної конфігурації, щоб додати:

Просто перезапустіть Apache.

Функція:

Відхиляйте будь-які запити на доступ безпосередньо через IP-адресу 192.168.0.16, і якщо ви використовуєте 192.168.0.16 для доступу, вам буде запрошено відмовити у доступі. Дозволено лише прохідВхід за гіперпосиланням видно.Доступ до цього доменного імені головний каталог вказує на C:www

Змініть файл confhttpd.conf

Знайдіть "#LoadModule rewrite_module modules/mod_rewrite.so" і видаліть знак "#" перед ним

Додайте конфігурацію, подібну до наступного:

Просто перезапустіть Apache.

Функція:

Коли заголовок HOST не є 192.168.0.16, він перенаправляє на сторінку помилки.

Змінити nginx.conf

Додайте сервер за замовчуванням, коли заголовок хоста змінюється, щоб відповідати серверу, він перейде на сервер за замовчуванням, і сервер безпосередньо поверне помилку 403.

Прикладами є:

Просто перезапустіть nginx.

Змінити nginx.conf

Щоб додати правило виявлення до цільового сервера, зверніться до наступної червоної конфігурації:

Просто перезапустіть nginx.

Модифікація tomcatconfserver.xml

Знайдіть наступне місце:

Змініть ім'я в Host на статичне доменне ім'я наступним чином:

Перезапусти Tomcat, щоб завершити ремонт.

Використовуйте ISAPI_Rewrite плагін, щоб виявити вміст пакету запитів і переписати URL.

Пакет встановлення плагіна та адреса для завантаження інструменту crack:Вхід за гіперпосиланням видно.

Після завершення завантаження двічі клацніть по програмі та натисніть «Далі» для встановлення.

Після розпакування інструменту для розщеплення три файли показані на рисунку

Скопіюйте та вставте зламані три файли безпосередньо в інсталяційну папку ISAPI_Rewrite, тобто перезапишіть офіційний оригінальний файл; якщо запит не можна перезаписати, спочатку можна перейменувати офіційні три файли на інші імена, а потім скопіювати три зламані файли.

Після завершення заміни потрібно додати групу користувачів SERVICE для ISAPI_Rewrite.dll та надати права на читання, читання та запуск. (Цей крок дуже важливий, інакше наступний ISAPI_Rewrite не спрацює).

Відкрийте інструмент адміністрування IIS, виберіть цільовий проєкт - > Властивості - > Фільтри ISAPI - > Додати - > Виберіть шлях до ISAPI_Rewrite.dll файлу, який ви встановили - > ОК

Перезапустіть IIS і відкрийте інструмент керування IIS, ви можете побачити новий тег ISAPI_Rewrite у властивості цільового проєкту->, де можна безпосередньо писати правила .htaccess для перенаправлення відповідно до ваших потреб.

Щоб налаштувати білий список заголовка хоста, можна звернутися до наступних правил.

Після завершення налаштування, якщо поле Host у пакеті запиту не встановлено на 192.168.2.141, сторінка помилки буде автоматично перескочена.

Microsoft запустила інструмент модуля переписування URL, який може фільтрувати URL запиту, який потрібно встановити самостійно, а нижче наведено адресу для завантаження інструменту:

Адреса завантаження Microsoft (64-біт):        Вхід за гіперпосиланням видно.

Адреса завантаження Microsoft (32 біти):        Вхід за гіперпосиланням видно.

Після завершення завантаження двічі клацніть по програмі та натисніть «Далі» для встановлення.

Потім перезапустіть інструмент керування IIS, і ви побачите, що під панеллю IIS є інструмент переписування URL.

Подвійний клік на функцію перепису URL і додайте правило на вхідній панель правил URL-адреси.

Виберіть Запит на блокування.

Зверніться до рисунка нижче, щоб налаштувати правила, заповніть доменне ім'я або IP сайту в заголовку хоста, а потім натисніть OK.

Двічі клацніть за правилом, яке ви щойно створили.

Виберіть «Не співставити патерн» у виборі URL запиту, вибрати «Complete match» у предметі використання, вибрати «Скасувати запит» у типі дії та натисніть кнопку Застосувати у верхньому правому куті.

Потім перезапустіть сайт, після чого повторне тестування покаже, що якщо хост не 192.168.124.149, сервер скасує запит, тим самим діючи як запобіжний захід щодо заголовка хоста.

Перевидано з:Вхід за гіперпосиланням видно.