tomcat - 如何避免 apache tomcat 服务器中的主机头注入(inject)/中毒

Question

想要在 Apache tomcat 服务器中停止主机 header 注入(inject)或中毒。是否可以通过创建虚拟主机。

Answer 1

如果可以的话，最好不要信任 Host header 。虚拟主机是解决部分问题的一种方法。

您是否尝试过以下任何方法(包括虚拟主机)？

1. 拒绝任何通过 CORS 或类似方式与目标域不匹配的请求。
2. 验证主机 header 以确保请求源自目标主机与否。
3. 在 Apache/Nginx 中，作为您的 tomcat 服务器的反向代理，创建一个虚拟虚拟主机来捕获所有带有无法识别的主机 header 的请求。
4. 在应用程序初始设置期间创建受信任域的白名单，并映射在每个请求的主机 header 中收到的域。
5. 禁用对 X-Forwarded-Host header 的支持，如果无法禁用，则对其进行适当的安全检查以防止其被篡改。