Điểm:0

Chặn phương thức HTTP không hoạt động trên tên miền phụ

lá cờ bf
Tom

Tôi đã thực hiện chặn các phương thức khác ngoài GET, POST và OPTIONS trong apache.conf và khi tôi cố chạy máy chủ qua IP thì việc chặn hoạt động.

Nhưng khi định cấu hình chặn tương tự trên tên miền phụ (thông qua các trang có sẵn), việc chặn này không xảy ra. Tôi có thể đã làm gì sai?

apache2.conf

<Directory /var/www/>
    Options None
    AllowOverride None
    Require all granted

    <LimitExcept GET POST OPTIONS>
        Require all denied
    </LimitExcept>
</Directory>

các trang web có sẵn/tên miền phụ.example.com.conf

<VirtualHost *:80>
    ServerName subdomain.example.com
    ServerAlias subdomain.example.com
    DocumentRoot /var/www/html/subdomain.example.com
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    Header append X-FRAME-OPTIONS "SAMEORIGIN"

    RewriteCond %{REQUEST_URI} !^/\.well\-known/acme\-challenge/
    RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L]
</VirtualHost>

<VirtualHost *:443>
    SSLEngine on

    SSLCertificateFile      /certs/example.crt
    SSLCertificateKeyFile   /certs/example.key
    SSLCertificateChainFile /certs/example-intermediary.crt

    Protocols h2 http/1.1

    Header always set Strict-Transport-Security "max-age=31536000"

    Header append X-FRAME-OPTIONS "SAMEORIGIN"

    <Directory /var/www/html/subdomain.example.com>
        Options None
        AllowOverride None
        Require all granted

        <LimitExcept GET POST OPTIONS>
            Require all denied
        </LimitExcept>
    </Directory>

    ServerName subdomain.example.com
    ServerAlias subdomain.example.com
    DocumentRoot /var/www/html/subdomain.example.com
    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

Khóa này không hoạt động vì khi thực hiện yêu cầu bằng PUT, DELETE, LOCK, v.v., nội dung trang được trả về bình thường.

Gerard H. Pille avatar
lá cờ in
Có lẽ là "Không cho phép ghi đè" trên/var/www?
Tom avatar
lá cờ bf
Tom
@GerardH.Pille Tôi đặt cài đặt này vì khuyến nghị của CIS (4.4). >"Đảm bảo Vô hiệu hóa OverRide cho tất cả các thư mục" - "Tìm kiếm các tệp cấu hình Apache (httpd.conf và mọi tệp cấu hình đi kèm) để tìm các chỉ thị AllowOverride. Đặt giá trị cho tất cả các lệnh AllowOverride thành Không có. "
Gerard H. Pille avatar
lá cờ in
Tôi đang nhầm cây, allowoverride chỉ quản lý các lệnh .htaccess. Nội dung trang không đến từ bất kỳ bộ đệm nào?
Tom avatar
lá cờ bf
Tom
Không có bộ đệm. Trong nhật ký riêng của Apache, nó hiển thị yêu cầu được thực hiện bằng các phương thức khác.
Gerard H. Pille avatar
lá cờ in
Không có liên kết tượng trưng nào trong /var/www ? Sử dụng nhật ký riêng cho máy chủ ảo này. Hãy thử "yêu cầu người dùng hợp lệ" để xem bạn có đạt đến giới hạn ngoại lệ hay không.
Điểm:2
lá cờ ru

Bạn nên ngừng sử dụng cách cũ phức tạp đó để hạn chế các phương pháp.

Tải mod_allowmehtods.so và xác định những gì bạn muốn cho phép thay vào đó theo cách đơn giản hơn.

LoadModule allowmethods_module modules/mod_allowmethods.so
    
<Thư mục /var/www> 
#chỉ thị khác
AllowMethods NHẬN TÙY CHỌN BÀI ĐĂNG 
</Thư mục>

Trừ khi bạn ghi đè cái này trong thư mục con bằng cái khác, cái này sẽ hoạt động trên toàn máy chủ. Hãy thử và cho chúng tôi biết.

Gerard H. Pille avatar
lá cờ in
Lạ là tài liệu (http://httpd.apache.org/docs/current/mod/core.html) không đề cập đến khấu hao.
ezra-s avatar
lá cờ ru
@ GerardH.Pille Đúng, tôi chắc chắn đã đi trước chính mình, chắc chắn đáng để tranh luận trong ASF, mod_allowmethods đơn giản hơn nhiều và giúp ngừng sử dụng Limit LimitExcept có thể gây nhầm lẫn. Cho phép tôi sửa nhận xét của mình, cảm ơn vì đã chỉ ra!

Đăng câu trả lời

Hầu hết mọi người không hiểu rằng việc đặt nhiều câu hỏi sẽ mở ra cơ hội học hỏi và cải thiện mối quan hệ giữa các cá nhân. Ví dụ, trong các nghiên cứu của Alison, mặc dù mọi người có thể nhớ chính xác có bao nhiêu câu hỏi đã được đặt ra trong các cuộc trò chuyện của họ, nhưng họ không trực giác nhận ra mối liên hệ giữa câu hỏi và sự yêu thích. Qua bốn nghiên cứu, trong đó những người tham gia tự tham gia vào các cuộc trò chuyện hoặc đọc bản ghi lại các cuộc trò chuyện của người khác, mọi người có xu hướng không nhận ra rằng việc đặt câu hỏi sẽ ảnh hưởng—hoặc đã ảnh hưởng—mức độ thân thiện giữa những người đối thoại.