| 詳細(xì)描述 | 為了方便的獲得網(wǎng)站域名，開(kāi)發(fā)人員一般依賴于HTTP Host header。例如，在php里用_SERVER["HTTP_HOST"]。但是這個(gè)header是不可信賴的，如果應(yīng)用程序沒(méi)有對(duì)host header值進(jìn)行處理，就有可能造成惡意代碼的傳入。 |
| 解決辦法 |
web應(yīng)用程序應(yīng)該使用SERVER_NAME而不是host header。 在Apache和Nginx里可以通過(guò)設(shè)置一個(gè)虛擬機(jī)來(lái)記錄所有的非法host header。在Nginx里還可以通過(guò)指定一個(gè)SERVER_NAME名單，Apache也可以通過(guò)指定一個(gè)SERVER_NAME名單并開(kāi)啟UseCanonicalName選項(xiàng)。 |
為了解決這個(gè)安全漏洞掃描報(bào)告結(jié)果，宜興博路網(wǎng)絡(luò)見(jiàn)意在網(wǎng)站根目錄下新建一個(gè)web.config的配置文件，然后把下面的代碼保存即可，如果已經(jīng)有web.config文件，需要增加以下沒(méi)重復(fù)出現(xiàn)的紅顏色代碼段以及改與自己相應(yīng)的網(wǎng)址，IIS7.0以上的代碼為：
<configuration>
<system.webServer>
<rewrite>
<rules>
<!--301重定向把不帶3W的域名 定向到帶3W-->
<rule name="301Redirect" stopProcessing="true">
<match url=".*" />
<conditions>
<add input="{HTTP_HOST}" pattern="^boroad.net$" />
</conditions>
<action type="Redirect" url="http://m.mabhome.com/{R:0}" redirectType="Permanent" />
</rule>
</rules>
</rewrite>
<directoryBrowse enabled="false" />
<defaultDocument enabled="true">
<files>
<clear />
<add value="index.html" />
<add value="index.php" />
</files>
</defaultDocument>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
<add name="X-Content-Type-Options" value="nosniff" />
<add name="X-Frame-Options" value="DENY" />
<add name="X-XSS-Protection" value="1; mode=block" />
</customHeaders>
</httpProtocol>
</system.webServer>
</configuration>