0

Есть некоторое стороннее веб-приложение, в котором найдена некоторая дырка -- и хочется временно заткнуть её сделав некоторые изменения в конфиге nginx.

Что требуется. Есть ссылка на страницу вида http://site.tld/folder/subfolder/?param1=1234&param2=123&param3&core=asdf&module=system&param4=1234&param5=

Есть белый список для параметров core (штук десять) и module (ещё штук десять). Нужно написать правило / набор правил: любые значения для core и module можно пробрасывать запрос на бекенд (апач), для невалидных -- отдавать скажем return 444.

С какого боку подойти вообще к задаче?

PS Возможно, проще будет отфильтровать на бекенде "плохие" ссылки? Добавил в теги вопроса apache.

1 ответ 1

1

Проверка параметров запроса - традиционно, задача бекенда. Но если хочется приключений то почему нет.

http://nginx.org/ru/docs/http/ngx_http_map_module.html#map

map $arg_core $var_core {
    default  1;
    "one"    0;
    "two"    0;
}
map $arg_module $var_module {
    default  1;
    "one"    0;
    "two"    0;
}

...

server {
    location / {
        if ($var_code) {
            return 444;
        }
        if ($var_module) {
            return 444;
        }
        proxy_pass ...
    }
}
5
  • Ох, ши... мапы... Ладно, концепт понятен, попробую такой вариант.
    – A K
    7 ноя 2017 в 15:47
  • @AK собсно, я бы использовал такой подход в 3х случаях: 1) потому что мне скучно, 2) потому что у меня нет доступа к бэку, 3) хотел бы уменьшить количество запросов попадающих на бэк при вообще большом количестве запросов к бэку (за 100 per sec) 7 ноя 2017 в 16:11
  • Я писал - это сторонняя софтина и мне оч-чень не хочется долго-долго ковырять её сугубо проприетарное ядро, чтобы потом не раздумывать, правильный ли я проводок перекусил. Так что добавьте 4) пришли безопасники, а патчей производителя для этой CVE нет.
    – A K
    7 ноя 2017 в 16:24
  • @AK, тогда конфигурирование nginx оправдано. хотя бы как временное решение, хех. 7 ноя 2017 в 18:15
  • лучше не вводить новый пункт, а изменить формулировку пункта 2 на "доступ к бэкенду отсутствует или осложнён" )) 7 ноя 2017 в 18:15

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.