.htaccess - 基于伪造的引荐来源网址的重定向

Question

我认为某些恶意机器人或用户正在伪造请求中的引荐来源网址，从而绕过我的声明拒绝。

除其他片段外，我的 htaccess 还包含以下内容

    ErrorDocument 403 "Nothing Interesting Here"
    order allow,deny
    deny from .eviluser.org
    allow from all

我的 htaccess 中也有:

    RewriteCond %{HTTP_REFERER} ^http(s)?://(www\.)?eviluser.*$ [NC]
    RewriteRule .* - [F,L]

但我的日志显示:

    wnode1.eviluser.org - - [14/Nov/2012:18:21:44 -0500] "GET /some-document.html HTTP/1.0" 200 68584 "http://myoriginaldomain/some-document.html" "Mozilla/5.0 (Windows NT 6.1; WOW64; rv:12.0) Gecko/20100101 Firefox/12.0"

问题:1) 如果 wnode1.eviluser.org 被拒绝，怎么可能会收到 200 代码？2)他们是否通过伪造我网站上的文档引用网址来绕过此问题？

谢谢。

Answer 1

Apache 的 docs for mod_authz_host建议如果您在 allow from 语句中使用主机名，它将执行反向查找。没有提到 deny from，但我认为这以同样的方式工作。 This blog post表明假设是正确的。

鉴于此，应该不可能伪造原始主机名，至少对于 deny from 语句来说是这样。做到这一点的唯一方法是在数据包级别伪造原始 IP 地址，但有 very limited situations这可能有用。另一方面，您的 RewriteCond %{HTTP_REFERER} 显然容易被伪造。

我不太擅长 Apache 配置，无法查看您的代码并查看是否存在问题，但上面的内容暗示这可能是配置错误而不是 Apache 限制。

我会尝试根据 IP 地址进行拒绝(例如从 100.100.0.0 拒绝)，看看是否会得到更好的结果。顺便问一下，您测试过自己的主机名吗？ (例如，拒绝来自本地主机)，或者尝试拒绝具有您控制的有效反向查找的计算机？