当前位置: 首页 > news >正文

国际学校网站建设直通车关键词怎么选 选几个

国际学校网站建设,直通车关键词怎么选 选几个,校园云网站建设,商丘公司做网站目录1.漏洞报告2.漏洞复现3.Nginx 修复3.1 添加请求头3.2 配置origin限制2.3 调整origin限制1.漏洞报告 漏洞名称: CORS 跨域漏洞等级: 中危漏洞证明: Origin从任何域名都可成功访问,未做任何限制。漏洞危害: 因为同源…

目录

    • 1.漏洞报告
    • 2.漏洞复现
    • 3.Nginx 修复
      • 3.1 添加请求头
      • 3.2 配置origin限制
      • 2.3 调整origin限制

1.漏洞报告

  • 漏洞名称: CORS 跨域
  • 漏洞等级: 中危
  • 漏洞证明: Origin从任何域名都可成功访问,未做任何限制。
  • 漏洞危害: 因为同源策略的存在,不同源的客户端脚本不能访问目标站点的资源,如果目标站点并配置不当,没有对请求源的域做严格限制,导致任意源都可以访问时,就能在 CORS 跨域漏洞问题,CORS 漏洞一般用于窃取用户敏感数据,如果用户点击触发了而已页面,就会被盗取数据。
  • 解决建议: 修复方法是合理配置 CORS,判断 Origin 是否合法。具体说就是请求头不要配置 Access-Control-Allow-Origin*null

2.漏洞复现

复现方式为在 Header 中指定 Origin 请求头,看是否可以请求成功。

curl -H 'Origin:http://aaa.bbb' http://10.14.32.138:80

发现确实可以正常请求成功,开始修复。

3.Nginx 修复

3.1 添加请求头

location /myProject/api/ {add_header 'Access-Control-Allow-Origin' 'http://10.14.32.138:80' always;add_header 'Access-Control-Allow-Credentials' 'false'  always;include      proxy_params;proxy_pass   http://localhost:8081/;access_log   /tmp/httplogs/uat-mobileapi-access.log main;error_log    /tmp/httplogs/uat-mobileapi-error.log;
}

添加完毕,提交复测,发现即使添加了请求头配置,当origin为其他域名时仍能正常访问。

3.2 配置origin限制

进一步通过添加 origin 限制来修复,其他域名访问时,直接返回 403 状态码。

location /myProject/api/ {if ($http_origin !~* "(www.test.com|10.14.32.138)" ) {return 403;}add_header 'Access-Control-Allow-Origin' 'http://10.14.32.138:80' always;add_header 'Access-Control-Allow-Credentials' 'false'  always;include      proxy_params;proxy_pass   http://localhost:8081/;access_log   /tmp/httplogs/uat-mobileapi-access.log main;error_log    /tmp/httplogs/uat-mobileapi-error.log;
}

配置之后,发现虽然跨域请求被限制住了,但是页面上的请求也无法访问了。

排查发现,页面上请求时不会传 Origin 请求头,所以也返回 403 状态码了。

2.3 调整origin限制

需要将 Origin 限制改为 Origin 为空也可以正常访问。

location /myProject/api/ {set $allow_cors 0;# 判断不为空if ($http_origin) {set $allow_cors 1;}# 判断不在白名单内if ($http_origin !~* "(www.test.com|10.14.32.138)" ) {set $allow_cors "${allow_cors}1";}# 判断不为空 且 不在白名单内,返回403if ($allow_cors = "11") {return 403;}add_header 'Access-Control-Allow-Origin' 'http://10.14.32.138:80' always;add_header 'Access-Control-Allow-Credentials' 'false'  always;include      proxy_params;proxy_pass   http://localhost:8081/;access_log   /tmp/httplogs/uat-mobileapi-access.log main;error_log    /tmp/httplogs/uat-mobileapi-error.log;
}

配置之后,复测通过,页面也可以正常访问了。

整理完毕,完结撒花~





参考地址:

1.Nginx配置origin限制跨域请求(应对等保),https://blog.csdn.net/qq_20236937/article/details/128640137

2.Nginx:如果头不存在或错误,则拒绝请求,https://www.it1352.com/1679888.html

3.NGINX实现IF语句里的AND,OR多重判断,https://blog.51cto.com/qiangsh/1967549

http://www.yidumall.com/news/22770.html

相关文章:

  • 律师怎么做网络推广企业网站seo服务
  • 南通网站建设机构北京网站优化对策
  • 丽江网站开发贵港seo关键词整站优化
  • 做网站698靠谱吗网站你应该明白我的意思吗
  • 前端网站开发实例视频百度推广优化排名怎么收费
  • 陕西找人做网站多少钱太原网站建设方案优化
  • 做动态网站用哪个程序软件比较简单免费下载百度seo
  • 网站首页的psd怎么做友情链接的网站
  • 盐城微信公众平台网站制作搜索引擎收录查询
  • 景区网站开发武汉seo和网络推广
  • 成都营销型网站建设及推广那家好合肥优化营商环境
  • 物流网站 源码怎样做好销售和客户交流
  • 外贸网站如何做seo友妙招链接怎么弄
  • 学做蛋糕网站万能搜索引擎
  • 宜城做网站如何做网站设计
  • 网站建设的主要缺陷怎么做自己的网页
  • 一般给公司做网站用什么软件爱客crm
  • 个人怎么做课程网站淘宝排名查询
  • 如何做公司网站百度推广seo搜索引擎优化价格
  • 安徽省做网站网站收录排名
  • 同ip网站汕头seo网络推广服务
  • 聊城网站建设包括哪些北京百度seo排名点击软件
  • 做app模板网站有哪些宁波网站推广专业服务
  • 用dw做网站毕业设计大型seo公司
  • 建设网站费用吗seo培训机构哪家好
  • 定制型网站制作app制作公司
  • php网站用到的知识成都本地推广平台
  • 可信赖的顺的网站建设合肥关键词排名技巧
  • 大唐网站首页百度云官网登录首页
  • b2b免费发布网站大全排名如何规划企业网络推广方案