主页 / server / 问题 / 1095180
Accepted
Pēteris Caune
Asked: 2022-03-03 08:00:53 +0800 CST

当主机头包含冒号字符时，NGINX 路由到错误的虚拟主机

  • 772

我的 nginx.conf 有几个“服务器”部分和一个包罗万象的服务器部分。这是一个示例 nginx.conf 给你一个想法：

user www-data;
worker_processes auto;
worker_cpu_affinity auto;
pid /run/nginx.pid;

events {
    worker_connections 4000;
    use epoll;
    accept_mutex off;
}

http {
    include /etc/nginx/mime.types;
    default_type application/octet-stream;
    error_log /var/log/nginx/error.log;

    server {
        listen 80;

        server_name foo.com;

        location / {
            default_type text/plain;
            return 200 "hello from foo.com";
        }

        error_page 500 502 503 504 /500.html;
    }

    server {
        listen 80 default_server;
        server_name _;

        location / {
            return 403 "sorry";
        }
    }

}

如果“主机”标头不是“foo.com”，我希望服务器返回 403。

显然有人在我的服务器上运行 Burp Suite，当他们发送“Host: foo.com:more-stuff-here”标头时，我注意到一个有趣的行为：NGINX 将请求路由到第一个“服务器”部分。它看起来好像忽略了标头值中的冒号及其后面的所有内容。

我可以使用上面的 nginx.conf 在本地重现它：

$ curl -H "Host: foo.com" http://127.0.0.1
hello from foo.com

$ curl -H "Host: foo.com:unexpected-content" http://127.0.0.1
hello from foo.com

$ curl -H "Host: bar.com" http://127.0.0.1
sorry

为什么 NGINX 会这样做？这是预期的行为吗？我应该在 nginx.conf 中进行哪些更改以确保带有“Host: foo.com:more-stuff-here”标头的请求转到默认块？

更新：对于研究同一问题的任何人，我还在NGINX 问题跟踪器中创建了一张票。

http nginx

3 个回答

  1. Best Answer

    HTTP RFC中 host 头的定义表明 Host 头的形式应该是host:port，并且:port是可选的。

    nginx 将冒号后面的所有内容视为主机的端口，但它与您的上下文无关，因为您没有以这种方式指定服务器块。所以它使用它可以找到的最接近的匹配，没有“端口”的主机。

    • 3

  2. 以下可能适用于default_server：

    server {
    listen 80 default_server;

    server_name _ ~example\.com:;

    location / {
        return 403 "sorry";
    }
}

    重要的部分是波浪号~，它表示正则表达式匹配。

    • 0

  3. 我能想到的唯一替代方法是在服务器端应用程序级别编写一些代码来检查主机值并在代码中返回 403 响应。

    然而，这并不是真正的正确方法，因为该问题是要修复的客户端问题，而不是您的应用程序。

    例如，从给定 PHP 应用程序的这个 SO 答案中，您可以轻松地修改此逻辑以达到预期的效果，特别注意根据Gerald 的答案检查 SERVER_PORT

    $allowed_hosts = array('foo.example.com', 'bar.example.com');
$allowed_ports = array(80,443);
if (!isset($_SERVER['HTTP_HOST']) || !in_array($_SERVER['HTTP_HOST'], $allowed_hosts) || !in_array($_SERVER['SERVER_PORT'], $allowed_ports )) {
    header($_SERVER['SERVER_PROTOCOL'].' 400 Bad Request');
    exit;
}
    • 0

相关问题