инъекция заголовка хоста .net mvc - модуль http - 400 неправильных запросов - PullRequest
Новая
       84

инъекция заголовка хоста .net mvc - модуль http - 400 неправильных запросов

1 голос
/ 07 ноября 2019

У меня есть задача, чтобы уменьшить внедрение заголовка узла в приложении MVC. Помимо прочего, я хочу реализовать проверку белого списка, создав модуль HTTP.

Пока что я использую что-то вроде этого:

запись web.config: 

  <system.webServer>
    <modules>
      <add name="TestHttpModule" type="MVC5TestApp.MyHttpModule, MVC5TestApp" />
    </modules>
  </system.webServer>

Класс модуля HTTP: 

public class MyHttpModule: IHttpModule 
{

    public MyHttpModule() {}

    public void Init(HttpApplication application) 
    {
        application.BeginRequest += new EventHandler(this.context_BeginRequest);
        application.EndRequest += new EventHandler(this.context_EndRequest);
    }

    public void context_BeginRequest(object sender, EventArgs e) 
    {
        CheckForHostHeaderInjection();
    }

    public void context_EndRequest(object sender, EventArgs e) 
    {
        // some code
    }

    public void Dispose() {}

    private void CheckForHostHeaderInjection()
    {
        // Currently, I am just comparing the following two ServerVariables.
        // I will add a method to compare "HTTP_HOST" value against a whitelist later.
        var httpHost = HttpContext.Current.Request.ServerVariables["HTTP_HOST"];
        var serverName = HttpContext.Current.Request.ServerVariables["SERVER_NAME"];

        if (!string.Equals(httpHost, serverName))
        {
            // What do I do in order to send back to the client a 400 Bad Request??
        }
    }
}

1 Ответ

0 голосов
/ 07 ноября 2019

Для MVC более чистым решением будет реализация IActionFilter для выполнения вашей проверки. В OnActionExecuting вы можете выполнить проверки заголовка и принудительно заставить ответ (ваш HTTP 400) замкнуть остальную часть потока запросов.

Ваша реализация OnActionExecuting будет выглядеть следующим образом. 

if(!ValidateWhiteListedHeaders(context.HttpContext.Request.Headers)){
  context.Result = new StatusCodeResult(400);
  return;
}

См. https://docs.microsoft.com/en-us/aspnet/mvc/overview/older-versions-1/controllers-and-routing/understanding-action-filters-cs#understanding-action-filters

...