apache2-安全问题-特定域没有虚拟主机

Question

在没有virtualhost的情况下让链接到您的apache2的域捕获它们会很危险吗？是否可以将apache配置为拒绝未知域？

ex：虚拟主机中未引用域，因此apache2回答该域时，它将获取服务器上引用的第一个虚拟主机。 同样，当我们输入服务器的IP地址时，将使用第一个VH来答复请求。

Answer 1

通常，我不会将其视为“危险的”，这更多地取决于您希望服务器如何运行。就个人而言，除非有理由不这样做，否则我始终会阻止未知域。

Apache可以通过简单地将“全部捕获”域放在虚拟主机配置文件的顶部来拒绝未定义的域（或者，如果您使用多个conf文件，则在按字母顺序排列的第一个文件中），然后将该域配置为无条件回复403（或者您可以配置其他您认为合适的回复）：

<VirtualHost *:80>
  ServerName default
  RewriteRule ^ - [F]             
</VirtualHost>

<VirtualHost *:80>
  ServerName example.com
  # ...             
</VirtualHost>