apache2 - 安全问题 - 特定域没有虚拟主机

【问题标题】：apache2 - security concern - no virtual host for specific domainapache2 - 安全问题 - 特定域没有虚拟主机
【发布时间】：2019-08-11 12:25:02
【问题描述】：

在没有虚拟主机的情况下让域链接到您的 apache2 会很危险吗？是否可以将 apache 配置为拒绝未知域？

ex：域未在虚拟主机中引用，因此当 apache2 响应它时，它会采用服务器上引用的第一个虚拟主机。同理，当我们输入服务器的ip地址时，取第一个VH来响应请求。

【问题讨论】：

标签： security dns apache2 virtualhost

【解决方案1】：

通常我不会认为它“危险”，它更多地取决于您希望您的服务器如何运行。就个人而言，除非有理由不这样做，否则我总是屏蔽未知域。

Apache 可以拒绝未定义的域，只需将“catch all”域放在虚拟主机配置文件的顶部（或者，如果您使用多个 conf 文件，则在按字母顺序排列的第一个文件中），并将该域配置为无条件以 403 响应（或者您可以配置任何其他您认为合适的响应）：

<VirtualHost *:80>
  ServerName default
  RewriteRule ^ - [F]             
</VirtualHost>

<VirtualHost *:80>
  ServerName example.com
  # ...             
</VirtualHost>

【讨论】：