Nginx配置origin限制跨域请求的详细过程

来自:网络
时间:2023-07-23
阅读:

按照等保要求,跨域的不安全性,需要修复。

Nginx配置origin限制跨域请求的详细过程

这个需要根据客户端传递的请求头中的Origin值,进行安全的跨站策略配置,目的是对非法的origin直接返回403错误页面。

漏洞复现

复现方式为在%20Header%20中指定%20Origin%20请求头,看是否可以请求成功。

能够请求成功,说明未对请求头进行控制,有漏洞。

curl-H'Origin:http://test.com'http://192.168.15.32:80

修复办法

在http中定义一个通过map指令,定义跨域规则并返回是否合法

http%20{ %20%20%20%20... %20%20%20%20//%20再白名单里边返回0,不在返回1 %20%20%20%20map%20$http_origin%20$allow_cors%20{ %20%20%20%20%20%20%20%20default%201; %20%20%20%20%20%20%20%20"~^https?://.*?\.tripwolf\.com.*$"%201; %20%20%20%20%20%20%20%20"~^(https?://(dmp.finerice.cn)?)$"%201; %20%20%20%20%20%20%20%20"~*"%200; %20%20%20%20} %20%20%20%20server%20{ %20%20%20%20%20%20%20%20#%20指定允许其他域名访问%20%20%20%20%20%20%20%20 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Origin%20$http_origin; %20%20%20%20%20%20%20%20#%20允许的请求类型 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Methods%20GET,POST,OPTIONS; %20%20%20%20%20%20%20%20#%20许的请求头字段 %20%20%20%20%20%20%20%20add_header%20Access-Control-Allow-Headers%20"Origin,%20X-Requested-With,%20Content-Type,%20Accept"; %20%20%20%20%20%20%20%20location%20/%20{ %20%20%20%20%20%20%20%20%20%20%20%20#%20进行请求拦截 %20%20%20%20%20%20%20%20%20%20%20%20if%20($allow_cors%20=%200){ %20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20return%20403; %20%20%20%20%20%20%20%20%20%20%20%20} %20%20%20%20%20%20%20%20%20%20%20%20root%20/mnt/data; %20%20%20%20%20%20%20%20} %20%20%20%20} }

验证方法

通过POSTMAN进行请求模拟,配置不同的Origin,查看返回结果。

如果不需要跨域,则直接清理掉add_headerAccess-Control-Allow-Origin等相关配置,就不这么复杂了。

返回顶部
顶部