0

Нативные модули http и https не требуют указания хоста для запуска простого сервера. Полагаю, что в целях безопасности необходимо решить, какой именно хост будет обслуживаться, а затем уже отклонять запросы с заголовками HOST, не удовлетворяющему настройкам.

Допустим, мы обслуживаем 127.0.0.1:1337. Однако запросы с заголовками localhost:1337 будут невалидными, если мы будем проверять заголовок на соответствие подстроке 127.0.0.1. Да, мы-то знаем, что в данном случае localhost - это местоимение для 127.0.0.1, но ведь так бывает не всегда. Поэтому чтобы пометить localhost как валидный, нужно на программном уровне преобразовать localhost в 127.0.0.1:1337. Но как это сделать нативно?

Прошу в данном вопросе не рекомендовать никаких библиотек и фреймворков, так здесь речь идёт именно о самостоятельной реализации этого функционала нативными средствами.

10
  • Конкретно для 127.0.0.1 вообще-то нет никакого смысла проверять хост. И если уж делать фильтрацию, то логично наоборт запрещать ip.
    – Alexey Ten
    23 дек 2021 в 10:29
  • @AlexeyTen, так если запрос дошёл до сервера, значит домен ресолвится в то, что надо.
    – Qwertiy
    23 дек 2021 в 10:44
  • curl http://localhost/ -H 'Host: google.com' Домен подделывается на раз
    – Alexey Ten
    23 дек 2021 в 11:24
  • @AlexeyTen, чтобы этого избежать, нужно проверять соответствие заголовка с URL запроса? 23 дек 2021 в 23:45
  • 2
    Что бы этого избежать надо сначала решить какие имена хостов разрешены. А все остальные запретить.
    – Alexey Ten
    24 дек 2021 в 6:01

1 ответ 1

1

Не понял вопроса, но очень подозреваю, что ты хочешь сделать это:

const http = require("http")

http.createServer((request, response) => {
  response.end("hi")
}).listen(1337, "0.0.0.0")

Или может быть, раз запрос дошёл до сервера, то его можно не валидировать? Безопасно ли это?

Любой сайт может в dns прописать ссылку на любой ip и это будет валидно. Т. е. любая третья сторона может сделать так, что домен, которым она владеет, будет совершенно законно мапиться на твой ip-адрес.

Я совершенно не вижу смысла пытаться выяснить, ресолвится ли присланный хост в твой ip или нет. В случае браузера подмена хоста из песочницы страницы невозможна. В случае вмешательства через расширения (установка прокси) или в систему (файл hosts) или самостоятельной отправки запроса через wget, curl или другие утилиты можно послать что угодно, но я не вижу повода для проверки таких штук в автоматическом режиме.

Что касается безопасности, dns remapping может являться уязвимостью. Посторонний сайт может указать твой ip в качестве своего и быстро меняя ip между своим сайтом и твоим сможет обходить кроссдоменность при отправке запрсов.

Но возвращаясь к твоему вопросу, в этом варианте их домен совершенно законно мапится на твой ip, и если ты попытаешься проверить, соответствует ли домен ip-адресу, то со значительной вероятностью результат проверки будет положительным.

Чтобы избежать dns remapping'а, надо чтобы сайт знал свой хост (или список допустимых хостов) и работал только с ними. Автоматическое определение тут не поможет.

3
  • Благодарю Вас за ответ и прошу прощения за непонятный вопрос. Тогда задам его так: если придёт заголовок HOST со значением localhost:1337 вместо 0.0.0.0:1331, то что делать - отвечать hi как у Вас в примере или отправить Bad Request с сообщением типа "такой хост не обслуживается"? Полагаю, в данном случае будет "отвечать hi", но откуда мы на программном уровне знаем, что localhost - это тоже самое, что 0.0.0.0? А если у нас режим продакшена, а не локальной разработки? Или может быть, раз запрос дошёл до сервера, то его можно не валидировать? Безопасно ли это? 28 дек 2021 в 10:02
  • @БоковГлеб, ответил.
    – Qwertiy
    28 дек 2021 в 10:22
  • Благодарю Вас за подробное объяснение. Я правильно понял, что под "знал свой хост" Вы имеет ввиду .listen(1337, "0.0.0.0")? Если да, то на этом данный вопрос исчерпан. 5 янв 2022 в 0:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.