none
HTTP HOST头部攻击 RRS feed

  • 问题

  • 风险名称:HTTP HOST头部攻击

    风险分析:可能导致缓存污染:攻击者通过控制一个缓存系统来将一个恶意站点的页面返回给用户。也有可能导致密码重置:发送给用户的内容是可以污染的,也就是说可以间接的劫持邮件发送内容。

    加固建议:

    建议做如下安全加固:

    1.由于http请求的特点,host header的值其实是不可信的。唯一可信的只有SERVER_NAME,这个在ApacheNginx里可以通过设置一个虚拟机来记录所有的非法host header

    2.Nginx里还可以通过指定一个SERVER_NAME名单,Apache也可以通过指定一个SERVER_NAME名单并开启UseCanonicalName选项。

    建议两种方法同时使用。

    ————————————————————————————————————————

    以上是安全厂商给我们漏扫给出的报告,请教大神,如果通过iis配置的话 是否有相应教程可以提供?

    2019年3月12日 1:55

全部回复

  • 您好,

    根据您提供的信息,这里有一篇文章供您参考:

    How to Protect Against Slow HTTP Attacks

    请注意:由于该网站不是由 Microsoft 管理,因此链接可能会更改,恕不另行通知。 Microsoft 不保证此信息的准确性,且不支持上述博客所做的更改。

    如果以上方法不能解决,如报告给出的建议(修改 Apache 和 Nginx 的设置),您可以联系 Apache 和 Nginx 的工程师看看是否有更具体的方案步骤。

    此致,

    Dawn Zhou


    如果以上回复对您有所帮助,建议您将其“标记为答复”. 如果您对我们的论坛支持有任何的建议,可以通过此邮箱联系我们:tnsf@microsoft.com.


    2019年3月13日 1:55
    版主