URL 存在 http host 头攻击漏洞 - 修复方案

基于 Nginx 的修复方案

    #注意Nginx的配置文件格式，空格之类的会影响规则
    if ( $host !~* " 10.4.15.1| 10.9.4.9 " ) { 
	 return 403;
    } 
  
​

基于 tocmat 的修复方案

经测试，最低支持 Tomcat6.0.x 以上版本的修复。

修复方式

打开 tomcat 的 conf 目录中的 server.xml 文件，将 Host 节点做如下配置：

<Host name="www.baidu.com"  appBase="webapps"
            unpackWARs="true" autoDeploy="true"
            xmlValidation="false" xmlNamespaceAware="false"><!--本机对外域名-->
          <Alias>10.1.8.158</Alias><!--本机所支持的所有IP-->
   <Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs"
              prefix="localhost_access_log." suffix=".txt"  resolveHosts="false"
              pattern="%a %A %b %B %h %H %l %m %p %s %S %t %u %U %v %D %T" />
</Host>
​

基于 Filter 的修复方案

修复方式
在工程的 web.xml 中配置下面代码中的拦截器，注意该拦截器一定要放在第一个执行。

最低支持 Tomcat7.0.x 以上版本的修复

范例代码

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
 
/**
 * @author Shmily
 */
public class HostCleanFilter implements Filter {
    /**
     * 自定义实现host白名单添加
     * @param filterConfig
     * @throws ServletException
     */
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
 
    }
 
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest)servletRequest;
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        String host=request.getHeader("Host");
        System.out.println("Host-debug:"+host);
        if(!isEmpty(host)){
            if(checkBlankList(host)){
                filterChain.doFilter(servletRequest,servletResponse);
            }else{
                System.out.println("[host deny access tips]->"+host);
                response.getWriter().print("host deny");
                response.flushBuffer();
            }
        }else{
            filterChain.doFilter(servletRequest,servletResponse);
        }
 
    }
 
    @Override
    public void destroy() {
 
    }
 
    /**
     * 校验当前host是否在白名单中
     * @param host
     * @return
     */
    private boolean checkBlankList(String host){
        if(host.contains(".baidu.cn")host.contains("10.19.1.")){
            return true;
        }
        return false;
    }
    public  boolean isEmpty(Object str) {
        return str == null || "".equals(str);
    }
 
}
 
​