防止外部请求expressjs

Question

在使用morgan中间件记录日志时，我注意到服务器日志中出现了一些频繁且令人担忧的请求。

相关记录器代码

var app = express();
app.use(morgan(':remote-addr - [:date[clf]] ":method :url HTTP/:http-version" :status :res[content-length] ":referrer" ":user-agent"'));

因此，日志的示例如下

::ffff:(redacted) - [Fri, 24 Jul 2015 04:16:32 GMT] "GET / HTTP/1.1" 200 29294 "-" "-"
::ffff:(redacted) - [Fri, 24 Jul 2015 04:17:30 GMT] "GET http://example.com/path.php HTTP/1.1" 200 34523 "-" "-"
::ffff:(redacted) - [Fri, 24 Jul 2015 04:17:36 GMT] "GET /path HTTP/1.1" 200 29294 "-" "-"

不幸的是，我不知道如何重现这样的错误。这是一个潜在的漏洞吗？原木锻造？我在哪里可以找到进一步的信息？

具体来说，这一行的url是“GET”http://example.com/path.php HTTP/1.1”，其中example.com不是我的域，我的服务器也没有设置为向example.com发出请求。通常这里只显示一个路径（例如，/example，/path，/）。此外，这些行通常作为来自外部IP的明显漏洞扫描的一部分出现，200的响应让我担心。日志是否指示出站请求？是否有人以某种方式使用我的服务器作为代理？

Answer 1

此问题可以通过连接到服务器并发送TCP数据包以形成HTTP请求来重现。

假设服务器部署在本地，可以使用netcat在ubuntu中复制，并发送HTTP请求，如

netcat localhost 8080
GET http://example.com/path.php HTTP/1.1

由于这不是一个格式错误的HTTP请求，nodejs会正确地处理它，但结果是，通过nodejs传递的url不仅仅是一个路径，而且包含给定的任何协议和域。

这可能会使某些节点（或express）应用程序崩溃，这些应用程序只希望请求url（或在express中为originalUrl）类似于路径，正如express文档和这些stackoverflow答案1和2所暗示的那样。

至于为什么它返回200，这将是特定于应用程序的。

考虑到这一点，重要的是不要假设请求url，也不是在Express的情况下的请求原始url，是一个以'/'开头的路径，当它不以'/'开头时，它甚至可能不包含正确的协议或域。

至少在v4中，Express可以“修复”不以“/”开头的请求URL，但请求对象的原始URL部分不会更改。无论如何，仍然不应假定url以“/”开头。

在express中避免此类问题请求的一种简单方法是在中间件堆栈顶部附近放置一个中间件来处理这种情况。下面给出了一个例子。如果需要，将其置于记录器之前将防止记录这些错误。

app.use(function(req, res, next) {
    if(req.url[0] !== '/' || req.originalUrl[0] !== '/') {
        res.status(404).send('');
    } else {
        next();
    }
});