Я пытаюсь пройти тест на соответствие PCI и получаю единственную «уязвимость с высоким риском».
Проблема описывается как:
Информация о машине, на которой расположен веб-сервер, иногда включается в заголовок веб-страницы. При определенных обстоятельствах эта информация может включать локальную информацию из-за брандмауэра или прокси-сервера, например, локальный IP-адрес.
Похоже, что Nginx отвечает:
Service: https
Received: HTTP/1.1 302 Found
Cache-Control: no-cache
Content-Type: text/html; charset=utf-8
Location: http://ip-10-194-73-254/
Server: nginx/1.0.4 + Phusion Passenger 3.0.7 (mod_rails/mod_rack)
Status: 302 X-Powered-By: Phusion Passenger (mod_rails/mod_rack) 3.0.7
X-Runtime: 0
Content-Length: 90
Connection: Close <html><body>You are being <a href="http://ip-10-194-73-254/">redirect ed</a>.</body></html>
Я не эксперт, поэтому, пожалуйста, поправьте меня, если я ошибаюсь: но из того, что я понял, я думаю, проблема в том, что Location заголовок возвращается http://ip-10-194-73-254/, который является частным адресом, когда он должен возвращать наше доменное имя (которым является ravn.com).
Итак, я предполагаю, что мне нужно либо скрыть, либо заменить Location заголовок как-нибудь? Я программист, а не администратор сервера, поэтому я понятия не имею, что делать ... Любая помощь будет принята с благодарностью! Кроме того, могу я добавить, что у нас работает более 1 сервера, поэтому конфигурация должна быть перенесена на любой сервер с любым частным адресом.
Хорошо, 302 Found это статус перенаправления HTTP, значит, вы были перенаправлены. Вас перенаправил не nginx но программное обеспечение позади nginx (приложение Ruby работает на Phusion Passenger, как я вижу), потому что там были заголовки (X-Powered-By: Phusion Passenger (mod_rails/mod_rack) 3.0.7) добавлено серверным приложением, а не nginx. Итак, вы должны проверить исходный код своего приложения Ruby, чтобы выяснить, что вызвало перенаправление. Адрес, на который вы были перенаправлены, в любом случае был недоступен из общедоступного Интернета, так что это не уязвимость, а своего рода неправильная конфигурация.