Calculer Girl
  1. Calculer Girl
  3. Est-il possible d’empoisonner l’en-tête de l’hôte dans un tel cas?
Intereting Posts
Apache ne parvient pas à démarrer sur Vagrant Accéder à la session D-Bus d’un autre utilisateur Redirection 301 avec la chaîne de requête – produits woocommerce awk: erreur d’exécution: index de champ négatif Commande Awk pour formater la sortie de texte avec un séparateur d’enregistrements personnalisé et un séparateur de champs Nginx add_header et contrôle de cache Comment lire les scripts stdout et stderr de PowerShell à partir de C # vim n’exécute pas d’autocommandes au démarrage, mais .vimrc est lu Pipe la sortie d’un sous-processus Perl en Python vers un tableau en Python Configuration d’un environnement de programmation sous Linux réécrire la règle sur index.php racine bash (peut potentiellement utiliser perl / python): filtre la liste d’arguments délimitée par des espaces à travers les expressions rationnelles Bouton “Design” grisé dans Qt Creator pour le projet QML Imprimer la ligne médiane de tout fichier UNIX Espace disque sur le serveur Linux

Est-il possible d’empoisonner l’en-tête de l’hôte dans un tel cas?

L’équipe de Django considère que l’empoisonnement d’en-tête d’hôte (CVE-2011-4139 et CVE-2012-4520) constitue un problème de sécurité qui doit être résolu au niveau de la structure. Pyramid, par exemple (c’est-à-dire son wrapper-webob de requête de bas niveau sous-jacent), ne considère pas cela comme un problème.

Sur les machines de production et de développement, j’ai nginx qui semble avoir correctement passé SERVER_NAME même si l’en-tête Host contient des erreurs complètes et répond avec 444 No response s’il n’y a pas de server_name correspondant.

Question: devrais-je m’inquiéter de l’empoisonnement de l’en-tête de l’ Host dans ce cas, si j’utilise SERVER_NAME pour créer des URL absolues?

Si vous utilisez nginx pour nettoyer les champs HTTP_HOST et SERVER_NAME, vous faites ce qu’il faut et vous n’avez pas à vous soucier de l’imbrication de l’en-tête de l’hôte.

Comme Django, Pyramid considère qu’une grande partie de cette tâche relève de l’environnement hôte WSGI. Et nginx fait un excellent travail de nettoyage des informations de requête HTTP.