java - jetty、servlet 3.0、spring主机头攻击预防

Question

有一种已知的攻击类型，称为主机 header 攻击脚本。它基本上是更改“X-Forwarded-Host” header 以及您通过执行以下操作进行的所有调用:

String serverName = reqest.getServerName();

导致 serverName 恰好是 X-Forwarded-Host header 值。因此，所有基于 serverName 变量的操作都是不可信的。如果您将网址嵌入到您的网站中，例如:

<a href="http://<%=request.getServerName()+":"+request.getServerPort()%>">Some link</a>

您可能指的是另一个位置。

是否有另一种方法可以在存在恶意 X-Forwarded-Host header 的情况下正确检索服务器名称？

所有这些问题都可以通过仅提供相对网址而不是完整网址来克服。我现在面临的情况包括嵌入一些从 https 到 http 的完整 url，因此我不能使用相对 url。

有什么想法吗？

Answer 1

我认为您可以禁用转发功能。这可以在AbstractConnector中完成，有一个名为setForwarded的方法。

同时，如果您使用 dropwizard，这非常简单，只需编辑 yml 文件并更改 http 配置中的 useForwardedHeaders 字段即可。 (0.6.2 中)