java host头攻击漏洞_URL存在http host头攻击漏洞-修复方案
基于Nginx的修复方案
#注意Nginx的配置文件格式，空格之类的会影响规则
if ( $host !~* " 10.4.15.1| 10.9.4.9 " ) {
return 403;
}
基于tocmat的修复方案
经测试，最低支持Tomcat6.0.x以上版本的修复。
修复方式
打开tomcat的conf目录中的server.xml文件，将Host节点做如下配置：
unpackWARs="true" autoDeploy="true"
xmlValidation="false" xmlNamespaceAware="false">
10.1.8.158
prefix="localhost_access_log." suffix=".txt" resolveHosts="false"
pattern="%a %A %b %B %h %H %l %m %p %s %S %t %u %U %v %D %T" />
基于Filter的修复方案
修复方式
在工程的web.xml中配置下面代码中的拦截器，注意该拦截器一定要放在第一个执行。
最低支持Tomcat7.0.x以上版本的修复
范例代码
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
/**
* @author Shmily
*/
public class HostCleanFilter implements Filter {
/**
* 自定义实现host白名单添加
* @param filterConfig
* @throws ServletException
*/
@Override
public void init(FilterConfig filterConfig) throws ServletException {
}
@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
HttpServletRequest request = (HttpServletRequest)servletRequest;
HttpServletResponse response = (HttpServletResponse) servletResponse;
String host=request.getHeader("Host");
System.out.println("Host-debug:"+host);
if(!isEmpty(host)){
if(checkBlankList(host)){
filterChain.doFilter(servletRequest,servletResponse);
}else{
System.out.println("[host deny access tips]->"+host);
response.getWriter().print("host deny");
response.flushBuffer();
}
}else{
filterChain.doFilter(servletRequest,servletResponse);
}
}
@Override
public void destroy() {
}
/**
* 校验当前host是否在白名单中
* @param host
* @return
*/
private boolean checkBlankList(String host){
if(host.contains(".baidu.cn")host.contains("10.19.1.")){
return true;
}
return false;
}
public boolean isEmpty(Object str) {
return str == null || "".equals(str);
}
}
标题：URL存在http host头攻击漏洞-修复方案
作者：TravelEngineers
地址：https://www.mycitymemory.com/articles/2019/07/27/1564213062285.html
版权声明：转载请注明博文地址，尊重作者劳动成果。
作者简介：坐标魔都，一枚爱旅行爱摄影的攻城狮。愿攻城拔寨的路上，你不用996，也不再孤单，加油。