ส่วนหัว HTTP_HOST ที่สงสัยของ Django ไม่ถูกต้อง

หลังจากอัปเกรดเป็น Django 1.5 ฉันเริ่มได้รับข้อผิดพลาดดังนี้:

Traceback (most recent call last):

File "/usr/local/lib/python2.7/dist-packages/django/core/handlers/base.py", line 92, in get_response
response = middleware_method(request)

File "/usr/local/lib/python2.7/dist-packages/django/middleware/common.py", line 57, in process_request
host = request.get_host()

File "/usr/local/lib/python2.7/dist-packages/django/http/request.py", line 72, in get_host
"Invalid HTTP_HOST header (you may need to set ALLOWED_HOSTS): %s" % host)

SuspiciousOperation: Invalid HTTP_HOST header (you may need to set ALLOWED_HOSTS): www.google.com

<WSGIRequest
path:/,
GET:<QueryDict: {}>,
POST:<QueryDict: {}>,
COOKIES:{},
META:{'CONTENT_LENGTH': '',
'CONTENT_TYPE': '',
'DOCUMENT_ROOT': '/etc/nginx/html',
'HTTP_ACCEPT': 'text/html',
'HTTP_HOST': 'www.google.com',
'HTTP_PROXY_CONNECTION': 'close',
'HTTP_USER_AGENT': 'Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)',
'PATH_INFO': u'/',
'QUERY_STRING': '',
'REMOTE_ADDR': '210.245.91.104',
'REMOTE_PORT': '49347',
'REQUEST_METHOD': 'GET',
'REQUEST_URI': '/',
u'SCRIPT_NAME': u'',
'SERVER_NAME': 'www.derekkwok.net',
'SERVER_PORT': '80',
'SERVER_PROTOCOL': 'HTTP/1.0',
'uwsgi.node': 'derekkwok',
'uwsgi.version': '1.4.4',
'wsgi.errors': <open file 'wsgi_errors', mode 'w' at 0xb6d99c28>,
'wsgi.file_wrapper': <built-in function uwsgi_sendfile>,
'wsgi.input': <uwsgi._Input object at 0x953e698>,
'wsgi.multiprocess': True,
'wsgi.multithread': False,
'wsgi.run_once': False,
'wsgi.url_scheme': 'http',
'wsgi.version': (1, 0)}>

ฉันตั้งค่าไว้ALLOWED_HOSTS = ['.derekkwok.net'] ในไฟล์ settings.py

เกิดขึ้นที่นี่คืออะไร? มีใครแอบอ้างเป็น Google และเข้าถึงไซต์ของฉัน หรือเป็นกรณีที่ไม่เป็นอันตรายเมื่อมีผู้ตั้งค่าส่วนหัว HTTP_HOST ไม่ถูกต้อง?

หากคุณALLOWED_HOSTSตั้งค่าอย่างถูกต้องอาจเป็นไปได้ว่ามีคนกำลังตรวจสอบไซต์ของคุณเพื่อหาช่องโหว่โดยการปลอมแปลงส่วนหัว

ขณะนี้มีการพูดคุยกันโดยนักพัฒนา Django เพื่อเปลี่ยนสิ่งนี้จากข้อผิดพลาดเซิร์ฟเวอร์ภายใน 500 เป็นการตอบสนอง 400 ดูตั๋วนี้

หากคุณใช้ Nginx เพื่อส่งต่อคำขอไปยัง Django ที่ทำงานบน Gunicorn / Apache / uWSGI คุณสามารถใช้สิ่งต่อไปนี้เพื่อบล็อกคำขอที่ไม่ดี ขอบคุณ@PaulMสำหรับข้อเสนอแนะ

upstream app_server {
    server unix:/tmp/gunicorn_mydomain.com.sock fail_timeout=0;
}

server {

    ...

    ## Deny illegal Host headers
    if ($host !~* ^(mydomain.com|www.mydomain.com)$ ) {
        return 444;
    }

    location  / {
        proxy_pass               http://app_server;
        ...
    }

}

เมื่อใช้ Nginx คุณสามารถตั้งค่าเซิร์ฟเวอร์ของคุณด้วยวิธีการร้องขอไปยังโฮสต์ที่คุณต้องการเข้าสู่ Django ในตอนแรกเท่านั้น ซึ่งจะทำให้คุณไม่มีข้อผิดพลาด S สงสัยOperationอีกต่อไป

server {
    # default server

    listen 80;
    server_name _ default;

    return 444;
}
server {
    # redirects

    listen 80;
    server_name example.com old.stuff.example.com;

    return 301 http://www.example.com$request_uri;
}
server {
    # app

    listen 80;
    server_name www.example.com; # only hosts in ALLOWED_HOSTS here

    location  / {
        # ...
    }
    # ... your config/proxy stuff
}

นี้ได้รับการแก้ไขในรุ่นใหม่ของ Django แต่ถ้าคุณกำลังใช้รุ่นที่ได้รับผลกระทบ (เช่น 1.5) คุณสามารถเพิ่มตัวกรองเพื่อจัดการคนตัดไม้ของคุณเพื่อกำจัดเหล่านี้ตามที่ระบุไว้ในนี้โพสต์บล็อก

สปอยเลอร์:

from django.core.exceptions import SuspiciousOperation

def skip_suspicious_operations(record):
  if record.exc_info:
    exc_value = record.exc_info[1]
    if isinstance(exc_value, SuspiciousOperation):
      return False
  return True

LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'filters': {
        'require_debug_false': {
            '()': 'django.utils.log.RequireDebugFalse',
        },
        # Define filter
        'skip_suspicious_operations': {
            '()': 'django.utils.log.CallbackFilter',
            'callback': skip_suspicious_operations,
        },
    },
    'handlers': {
        'mail_admins': {
            'level': 'ERROR',
            # Add filter to list of filters
            'filters': ['require_debug_false', 'skip_suspicious_operations'],
            'class': 'django.utils.log.AdminEmailHandler'
        }
    },
    'loggers': {
        'django.request': {
            'handlers': ['mail_admins'],
            'level': 'ERROR',
            'propagate': True,
        },
    }
}