月度归档： 2022年3月

解放方法：

在网页html代码head中添加如下代码：

<meta name="referrer" content="no-referrer" />

原理：

• http请求体的header中有一个referrer字段，用来表示发起http请求的源地址信息，这个referrer信息是可以省略但是不可修改的，就是说你只能设置是否带上这个referrer信息，不能定制referrer里面的值。

• 服务器端在拿到这个referrer值后就可以进行相关的处理，比如图片资源，可以通过referrer值判断请求是否来自本站，若不是则返回403或者重定向返回其他信息，从而实现图片的防盗链。上面出现403就是因为，请求的是别人服务器上的资源，但把自己的referrer信息带过去了，被对方服务器拦截返回了403。

• 在前端可以通过meta来设置referrer policy(来源策略)，具体可以设置哪些值以及对应的结果参考这里。所以针对上面的403情况的解决方法，就是把referrer设置成no-referrer，这样发送请求不会带上referrer信息，对方服务器也就无法拦截了。

参考：

继续阅读

网站即使是套了cloudflare等cdn，通过访问https://ip地址，会暴露域名。

有些无良爬虫可通过HTTPS访问扫描全网IP，暴露证书、同时暴露你的域名。即使你套了CDN也逃不掉。像censys.io和shodan就是提供这种服务的。

示范一下扫描IP命令：

curl -v -k https://35.186.1.1

curl -v -k https://35.186.1.1
* Rebuilt URL to: https://35.186.1.1/
*   Trying 35.186.1.1...
* TCP_NODELAY set
* Connected to 35.186.1.1 (35.186.1.1) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: /etc/ssl/certs
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN, server accepted to use http/1.1
* Server certificate:
*  subject: CN=normal_domain.tld
*  start date: Nov 15 05:41:39 2019 GMT
*  expire date: Nov 14 05:41:39 2020 GMT
*  issuer: CN=normal_domain.tld
*  SSL certificate verify result: unable to get local issuer certificate (20), continuing anyway.
> GET / HTTP/1.1
> Host: 35.186.1.1
> User-Agent: curl/7.58.0
> Accept: */*
> 
* Empty reply from server
* Connection #0 to host 35.186.1.1 left intact
curl: (52) Empty reply from server

可以看见，证书和域名都暴露了。

解放方法

1、如果使用的宝塔面板

新添加一个站点，以当前服务器ip为域名，自签IP证书（本文末尾会提供空白的自签证书，任何域名都可使用），打开 【站点设置->配置文件】，在如图位置加上return 444;

最后将该站点，设置为“默认站点”即可。

2、Nginx配置

Nginx 版本高于等于 1.19.4，才可以使用 ssl_reject_handshake 特性来防止 SNI 信息泄露。如果 Nginx 版本太低，可以看看姥爷的这篇文章自编译 Nginx。

下面就来讲讲 ssl_reject_handshake 怎么用。只要新添加个443端口默认块就可以了。

#新添加的443端口块，如果使用了错误的 Hostname，SSL 握手会被拒绝
server {
    listen 443 ssl default_server;
    ssl_reject_handshake on;
}
#常规的443端口，包含正确的域名和证书。对于携带正确 Hostname 的请求，服务器会继续做后续处理
server {
    listen              443 ssl;
    server_name         example.com;
    ssl_certificate     example.com.crt;
    ssl_certificate_key example.com.key;
}

重启nginx即可。

3、CDN IP加白名单

给CDN IP添加到白名单，只有CDN IP才可以访问源站。如果套的是cloudflare，cloudflare IP为：https://www.cloudflare.com/ips/

4、屏蔽 censys.io和shodan 的IP段和UA

这种方法只能防君子不防小人，而且还有很多未知的类似服务的IP和UA。所以不推荐这种方法。

最后附上空白自签证书。

继续阅读