☰

如何在 Ubuntu Server 14.04 中预防主机头攻击

tag-icon • tag-icon 14.04 server apache2 security
如何在 Ubuntu Server 14.04 中预防主机头攻击

如果我们从任何主机（如 example.com）发送请求，我们的服务器将返回 HTTP 1.1 200 OK 响应状态。

在正确情况下，它应该显示 302、400 或 404 错误消息（未找到响应）状态。在当前情况下，当它通过我们的主机（如 xx.xxx.xx.xx）发送时，它显示 200 OK 响应消息。

例如，如果我们发送此请求：

GET /web/ HTTP/1.1 
**Host: example.com** 
User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:51.0) 
Gecko/20100101 Firefox/51.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8 Accept-Language: en-US,en;q=0.5 Connection: close Upgrade-Insecure-Requests: 1

我们得到了这样的回应：

**HTTP/1.1 200 OK** 
Date: Thu, 02 Mar 2017 15:23:20 GMT 
Server: figi_Server 
X-Frame-Options: deny Strict-Transport-Security: 1 Vary: Accept-Encoding X-Content-Type-Options: nosniff 
X-Frame-Options: sameorigin 
X-XSS-Protection: 1; mode=block

使用这些规格：

操作系统：Ubuntu 14.04。Web 服务器：Apache 2.2。虚拟机同时运行两者。

请仔细阅读问题的屏幕截图，以便更好地了解问题

答案1

您需要检查 Apache 中的虚拟主机配置，并确保没有默认虚拟主机。

如果设置中有一个默认虚拟主机，那么对 Web 服务器的任何请求都会成功。

看Apache 虚拟主机配置了解更多信息。

相关内容