Предотвращение атак заголовка HTTP-узла в Azure

Question

Согласно отчету Whitehat Security, в нем говорится, что существует уязвимость в заголовках запросов Host или X-Forwarded-Host при сборке нашего сайта с использованием Kentico и размещенной в Azure.

Как мы предотвращаем этот тип атак в Azure (у нас есть шлюз и WAF в Azure)

Answer 1

Один только Kentico вообще не обрабатывает заголовок хоста и никак не использует его. Эта проблема, похоже, обостряется в конфигурации Azure. По своему опыту я столкнулся с этой проблемой, когда установил пустую привязку на сервере IIS и IIS принял заголовок узла.

Кажется, что Azure допускает пустые имена хостов (или подстановочные знаки из-за установки нескольких арендаторов):

https://docs.microsoft.com/en-us/azure/application-gateway/application-gateway-web-app-overview https://docs.microsoft.com/en-us/azure/application-gateway/multiple-site-overview

Это могут быть те, которые отражают заголовок хоста, и вам необходимо убедиться, что шлюзу и приложению задано правильное имя хоста, а заголовок хоста будет просто проигнорирован.