Можем ли мы слепо доверять ОШИБКЕ Django "возможно, вам потребуется добавить xxx в РАЗРЕШЕННЫЕ ХОСТЫ"?

#django #security

Вопрос:

Регулярно я получаю от своего сервера такого рода ошибки:

Недопустимый заголовок HTTP_HOST: ‘139.162.113.11’. Возможно, вам потребуется добавить «139.162.113.11» для РАЗРЕШЕННЫХ ХОСТОВ.

Проблема в том, что мой сервер работает нормально, и я не знаю, откуда берутся эти IP-адреса.

Если я попытаюсь локализовать один из примеров, он окажется в Токио, что для меня странно, так как сервер находится во Франции, в основном для европейских клиентов.

Не может ли это быть подозрительной попыткой нарушения безопасности сервера? Я не горю желанием разрешать этот IP-адрес. Каково правильное отношение к такого рода ошибкам?

1. Это именно то, что должно произойти. Если вы разрешите все хосты, ваш сайт может обслуживаться кем-то вредоносным, который может перехватить и «отравить» все содержимое вашего сайта.

2. I don't know where do these IP addresses are coming from. Взглянуть

3. @EnePaul, А что вы думаете об адресе 192.168.0.1, который не отображается в результатах ifconfig? Или обратный IP-адрес моего сервера? Разве не странно получать эту ошибку с этими адресами?

4. Это тоже можно использовать для нападения. Видишь dzone.com/articles/what-is-a-host-header-attack . Смотрите скриншот в нижней части страницы. Они использовали «поддельный» локальный ip-адрес

Ответ №1:

Вы можете «доверять» тому, что Django помогает предотвратить запуск вашего приложения на запрещенных хостах!

Однако — вы не можете слепо доверять тому, что этим IP-адресам должно быть разрешено размещать ваше приложение. Обычно это какие-то службы сканирования ботов, которые ищут уязвимости на серверах, чтобы делать неприятные вещи.

Черт возьми, сегодня утром, когда я просыпаюсь, в моем почтовом ящике есть несколько таких ЗАПРЕЩЕННЫХ предупреждений!

Существует опция ведения django.security.DisallowedHost журнала, с помощью которой вы можете решить эту проблему — однако я сохраняю ее в качестве барометра активности ботов.

1. Правильно, я вижу это так, как вы сказали, барометр активности ботов. Но я был неуверен, после того, как через год я получил эти ошибки, я хотел дать ему более глубокое понимание