Как через Nginx проходят такие запросы?

Question

[Alex Kheben]

Настроил на серваке связку Nginx + NodeJS.
Запустил. Через некоторое время вижу в логах странные запросы

Самый странный запрос их всех:

GET http://37.28.156.211/sprawdza.php 200 2ms - 1.88kb

Конфиг nginx

upstream site {
    server localhost:8080;
}

map $http_upgrade $connection_upgrade {
    default upgrade;
    '' close;
}

server {
    listen       80;
    server_name  site.com;

    location / {
        root   /var/www/site/public;
        index  index.html index.htm;

        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header Host $http_host;
        proxy_set_header X-NginX-Proxy true;

        proxy_pass http://site/;
        proxy_redirect off;

        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }
    error_page   500 502 503 504  /50x.html;
    location = /50x.html {
        root   /usr/share/nginx/html;
    }
}

Странно то, что в логах в URL'е IP адрес нифига не моего сервака. И странно, что он написал, что отдал 1.88kb.

Может проблема не в конфиге nginx, пните в нужном направлении.

А ещё мне интересно, как эту штуку эксплуатировать?)

Answer 1

[Тимур Шемсединов]

Ничего странного нет, удаленный клиент подключился к твоему IP и прислал в сокет строку GET 37.28.156.211/sprawdza.php Тут он мог прислать любой URL. А отдала страницу нода, потому, что она, скорее всего, тоже не проверяет host в запросах. Лучше всего фильтровать по host в nginx. Проверь, чтобы нода делала server.listen(8080, '127.0.0.1'); а не просто server.listen(8080); Эксплуатировать такую проблему ни как нельзя, кроме как DOSить, это не сильно страшно, но фильтровать по хостам нужно.

Comments

[Alex Kheben]

Там вообще было вот так:
server.listen(config.port, config.ip)Но я не заметил, что в конфиге id = undefined =)
Исправил это.

Ещё в Nginx'е прописал сервер для ip адреса сервака. Теперь на ноду не должно попадать ничего.
Посмотрим, увидим, сработали или нет =)

Спасибо за наводку!