Pomelo Lee workspace

Nginx解决http host头攻击及Method漏洞

星期一, 2022-10-10 | Author: LeecloseAuthor: Lee Name: lee
Email: [email protected]
Site: https://www.pomelolee.com/
About: webgame网页,手机游戏服务端架构和开发者See Authors Posts (492) | computer, JAVA-and-J2EE, linux | 2,973 views

一、HTTP Host头攻击漏洞解决
检测应用是否在请求目标站点时返回的URL是直接将Host头拼接在URI前。

解决方法：验证host

server {
  listen 80;
  server_name 127.0.0.1 192。168.1.8 xxx.com;
  if ($http_Host !~* ^192.168.1.8|127.0.0.1|xx.com$)
  {
    return 403;
  }
}

二、 HTTP Method非POST和GET方式击漏洞解决
尽量用get和post的api的应用，禁用OPTIONS

解决方案：在nginx的server中配置，只允许GET、POST、PUT、DELETE 类型请求通过，其余不安全的请求方式返回403状态码，代码如下。

if ($request_method !~* GET|POST|PUT|DELETE) {
  return 403;
}

~谢谢打赏~

赏

Tags: Nginx

No comments yet.

Leave a comment