我們公司的產品幾年來一直飽受黑客暴力猜測密碼攻擊,一直以來有乙個重要的安全策略就是基於ip位址的安全防護.也就是乙個位址嘗試錯誤超過10次,就會鎖一天.
最近要開發乙個跟精細的功能,就是如果使用者突然換了乙個地域登入,這樣就會提示使用者輸入驗證碼.這個策略也是基於ip的.
因為我們的產品使用了ngnix,所以ip的獲取也就是通過 x-forward-for 為了方便測試,測試時切換ip不是很方便,我就嘗試找乙個方法偽造ip位址測試伺服器,最後找到了firfox外掛程式"modify headers", 這個可以很方便的就偽造了乙個http header,在測試伺服器上測試,果然欺騙成功了.
在測試伺服器上測試成功之後,我突然想何不到產品上面去試試,一試嚇一跳,居然把產品也騙了,我的ip被鎖了之後,我只要換乙個http頭,鎖就解了.
經過分析,發現我們伺服器的ngnix設定寫x-forward-for 使用的是追加方式,不是替換.設定替換之後,這個問題就解決了.
還好我們的nginx上線也就乙個月左右,黑客好像還沒有發現這個漏洞.要不攻擊我們的ip位址就不是一直是1w個左右,會有乙個跳躍的上公升了.
一把雨傘引發的思考
昨天 2012.07.21 晚上9 30學習結束後，外面大雪傾盆。由於這場雨來的有點突然，提高班的兄妹們有的沒帶雨傘，還有因為雨傘太多且有的很相似且都放樓道裡涼著。所以，回宿舍的時候，有的同學很容易就拿錯了。這很正常，我們是乙個大家庭，我們之間不是普通的同學關係，而是兄妹情，所以應該不分你我。有急事...
給站長們的一把瑞士軍刀
給站長們的一把瑞士軍刀 題記 磨刀不誤砍柴工 互聯 長是一支正在逐漸壯大的群體。265.com 已經連續2次在廈門舉辦了站長大會，在業界影響廣泛。站長們又是一群吃苦耐勞，創意非凡的活躍群體。的創意 策劃 網域名稱註冊 空間維護乃至 內容，幾乎無所不包。在搜尋引擎時代來臨後，站長們又把目光投向了搜尋引...
給站長們的一把瑞士軍刀
給站長們的一把瑞士軍刀 題記 磨刀不誤砍柴工 互聯 長是一支正在逐漸壯大的群體。265.com 已經連續2次在廈門舉辦了站長大會，在業界影響廣泛。站長們又是一群吃苦耐勞，創意非凡的活躍群體。的創意 策劃 網域名稱註冊 空間維護乃至 內容，幾乎無所不包。在搜尋引擎時代來臨後，站長們又把目光投向了搜尋引...