Я использую Apache в качестве обратного прокси для нескольких разных проектов. Сканирование на соответствие PCI-DSS показывает, что в моем Apache включен метод HTTP CONNECT.
как указано на сайте Acunetix - http://www.acunetix.com/vulnerabilities/apache-proxy-http-connect-metho/
Насколько мне известно, CONNECT используется веб-сервером для туннелирования SSL на сервер приложений.
Есть предложения, как мне это исправить?
В противном случае кто-нибудь знает, как мне выполнить тест, если мой метод HTTP CONNECT в Apache включен / отключен?
У меня нет большого опыта работы в сети и настройки apache. Поправьте меня, если я написал что-то глупое.
Вам нужно только разрешить метод CONNECT, когда вы используете конфигурацию прямого прокси-сервера, в конфигурации обратного прокси вам даже не нужно включать метод подключения.
Если хотите, Apache следует настроить так, чтобы он функционировал как «человек посередине». Или вызвал SSL-загрузчик точки завершения SSL, поскольку конфигурация не является вредоносной.
Обычно apache настроен с вашими общедоступными ssl-сертификатами, и запросы, которые apache пересылает на ваш сервер приложений, осуществляются через простой HTTP. Если вы считаете, что ваша локальная сеть является враждебной, вы также можете пересылать по HTTPS, но тогда apache установит второе HTTPS-соединение.
<VirtualHost 1.2.3.4:443>
ServerName www.example.com
SSLEngine on
SSLCertificateFile /some/path/to/public.cert
SSLCertificateKeyFile /some/path/to/key
ProxyPass /app http://appserver.int.example.com/app
ProxyPassReverse /app http://appserver.int.example.com/app
</VirtualHost>
Или альтернативно:
ProxyPass /app https://appserver.int.example.com/app
ProxyPassReverse /app https://appserver.int.example.com/app
Сайт предлагает ограничить круг лиц, которые могут CONNECT
. В основном вы можете прочитать об этом в <Proxy>
конфигурация вашего хоста.
Что-то вроде этого может сработать и украдено по ссылке выше:
<Proxy *>
Order Deny,Allow
Deny from all
Allow from yournetwork.example.com
</Proxy>
Это позволит получить доступ из yournetwork.example.com
только. Вы можете ввести и диапазон IP, а также хост. Также Контроль доступа к вашему прокси может быть хорошим чтением.
Если у вас есть mod_proxy_connect загружен вы можете предположить CONNECT
включен. Если вы хотите использовать только обратный прокси, вы, вероятно, можете выгрузить этот модуль полностью.
Надеюсь, это поможет вам продвинуться вперед.