hostヘッダ改竄の対策

Question

お世話になります。
webサーバーのセキュリティーでhostヘッダの改竄があるかと思うのですが、そこそこの設定をしていればそれほど怖くないものだと思っていて、特に文字列のエスケープや改行コードに気をつけている程度の設定をしております。
しかし実際にhostヘッダの改竄が行われてアクセスしてきた際に検知する方法というのはあるのでしょうか？
なかなか調べても出てこなくてここで質問させて頂きました。

よろしくお願いします。

Answer 1

Host ヘッダーの改竄って、DNSリバインディングのことでしょうか？（第三者によって本来とは異なるホスト名で Web サイトを閲覧させられる問題）

だとすれば、Apache などのネームベースバーチャルホストで、デフォルトサーバをアクセス禁止にして、２番目以降のバーチャルホストで実際のアプリをホストすれば大丈夫だと思います。

NameVirtualHost *:80

<VirtualHost *:80>
  ServerName dummy
  <Directory />
    Order allow,deny
    Deny from all
  </Directory>
</VirtualHost>

<VirtualHost *:80>
  ServerName example.net
  DocumentRoot /var/www/html
  <Directory /var/www/html>
    Order allow,deny
    Allow from all
  </Directory>
</VirtualHost>

Comments

[ngyuki]

下記の記事がわかりやすいです。

セキュリティ - DNSリバインディング対策 - Qiita
http://qiita.com/kidachi_/items/1a3d66abb80bb67e0d64

Answer 2

返信遅くなりました。ありがとうございます。
maisumakunさんの考え方に同感です。
私も問題は「サーバサイドのプログラムでHost:を確認する必要もないでしょうし、サーバプログラムが不正なHost:で誤作動するのであればそれは間違いなく脆弱性に属す」ということだと思っているのですが、今々は、つまみ食い管理者をどうやって説得するのがよいのか非常に困っております。

ひとまずはサーバー側でアクセスログをとってホストを監視するというところで折り合いをつけようかなと思っております。
ありがとうございます。

Answer 3

サーバ側の設定でログファイルにHost:の内容を記録させることもできますし、それをあとで解析すれば不正なHost:の検知も可能です。

Apacheのログ書式

もっとも、複数のバーチャルホストで同じプログラムを呼ぶ場合、あるいはphpinfo()のような診断ツールを使う場合でなければ、サーバサイドのプログラムでHost:を確認する必要もないでしょうし、サーバプログラムが不正なHost:で誤作動するのであればそれは間違いなく脆弱性に属しますから、Webサーバやリバースプロキシをしっかりとアップデートしておけば、中小規模の環境で気にする必要はそこまでないのではないかと考えます。