Tiêu đề HTTP_HOST không hợp lệ của Django

Sau khi nâng cấp lên Django 1.5, tôi bắt đầu gặp lỗi như sau:

Traceback (most recent call last):

File "/usr/local/lib/python2.7/dist-packages/django/core/handlers/base.py", line 92, in get_response
response = middleware_method(request)

File "/usr/local/lib/python2.7/dist-packages/django/middleware/common.py", line 57, in process_request
host = request.get_host()

File "/usr/local/lib/python2.7/dist-packages/django/http/request.py", line 72, in get_host
"Invalid HTTP_HOST header (you may need to set ALLOWED_HOSTS): %s" % host)

SuspiciousOperation: Invalid HTTP_HOST header (you may need to set ALLOWED_HOSTS): www.google.com

<WSGIRequest
path:/,
GET:<QueryDict: {}>,
POST:<QueryDict: {}>,
COOKIES:{},
META:{'CONTENT_LENGTH': '',
'CONTENT_TYPE': '',
'DOCUMENT_ROOT': '/etc/nginx/html',
'HTTP_ACCEPT': 'text/html',
'HTTP_HOST': 'www.google.com',
'HTTP_PROXY_CONNECTION': 'close',
'HTTP_USER_AGENT': 'Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)',
'PATH_INFO': u'/',
'QUERY_STRING': '',
'REMOTE_ADDR': '210.245.91.104',
'REMOTE_PORT': '49347',
'REQUEST_METHOD': 'GET',
'REQUEST_URI': '/',
u'SCRIPT_NAME': u'',
'SERVER_NAME': 'www.derekkwok.net',
'SERVER_PORT': '80',
'SERVER_PROTOCOL': 'HTTP/1.0',
'uwsgi.node': 'derekkwok',
'uwsgi.version': '1.4.4',
'wsgi.errors': <open file 'wsgi_errors', mode 'w' at 0xb6d99c28>,
'wsgi.file_wrapper': <built-in function uwsgi_sendfile>,
'wsgi.input': <uwsgi._Input object at 0x953e698>,
'wsgi.multiprocess': True,
'wsgi.multithread': False,
'wsgi.run_once': False,
'wsgi.url_scheme': 'http',
'wsgi.version': (1, 0)}>

Tôi đã đặt ALLOWED_HOSTS = ['.derekkwok.net'] trong tệp settings.py của mình.

Chuyện gì đang xảy ra ở đây? Ai đó giả danh Google và truy cập trang web của tôi? Hoặc đó là một trường hợp lành tính của ai đó đặt tiêu đề HTTP_HOST của họ không chính xác?

Nếu của bạn ALLOWED_HOSTSđược đặt chính xác, thì có thể ai đó đang thăm dò trang web của bạn để tìm lỗ hổng bằng cách giả mạo tiêu đề.

Hiện đang có cuộc thảo luận của các nhà phát triển Django để thay đổi điều này từ lỗi máy chủ nội bộ 500 thành phản hồi 400. Xem vé này .

Nếu bạn đang sử dụng Nginx để chuyển tiếp các yêu cầu tới Django đang chạy trên Gunicorn / Apache / uWSGI, bạn có thể sử dụng cách sau để chặn các yêu cầu xấu. Cảm ơn @PaulM về đề xuất và bài đăng trên blog này là một ví dụ.

upstream app_server {
    server unix:/tmp/gunicorn_mydomain.com.sock fail_timeout=0;
}

server {

    ...

    ## Deny illegal Host headers
    if ($host !~* ^(mydomain.com|www.mydomain.com)$ ) {
        return 444;
    }

    location  / {
        proxy_pass               http://app_server;
        ...
    }

}

Khi sử dụng Nginx, bạn có thể thiết lập các máy chủ của mình theo cách chỉ yêu cầu các máy chủ mà bạn muốn truy cập Django ngay từ đầu. Điều đó sẽ không cho bạn lỗi SuspiciousOperation nữa.

server {
    # default server

    listen 80;
    server_name _ default;

    return 444;
}
server {
    # redirects

    listen 80;
    server_name example.com old.stuff.example.com;

    return 301 http://www.example.com$request_uri;
}
server {
    # app

    listen 80;
    server_name www.example.com; # only hosts in ALLOWED_HOSTS here

    location  / {
        # ...
    }
    # ... your config/proxy stuff
}

Điều này đã được khắc phục trong các phiên bản Django mới hơn, nhưng nếu bạn đang sử dụng phiên bản bị ảnh hưởng (ví dụ: 1.5), bạn có thể thêm bộ lọc vào trình xử lý trình ghi nhật ký của mình để loại bỏ chúng, như được nêu trong bài đăng blog này .

Spoiler:

from django.core.exceptions import SuspiciousOperation

def skip_suspicious_operations(record):
  if record.exc_info:
    exc_value = record.exc_info[1]
    if isinstance(exc_value, SuspiciousOperation):
      return False
  return True

LOGGING = {
    'version': 1,
    'disable_existing_loggers': False,
    'filters': {
        'require_debug_false': {
            '()': 'django.utils.log.RequireDebugFalse',
        },
        # Define filter
        'skip_suspicious_operations': {
            '()': 'django.utils.log.CallbackFilter',
            'callback': skip_suspicious_operations,
        },
    },
    'handlers': {
        'mail_admins': {
            'level': 'ERROR',
            # Add filter to list of filters
            'filters': ['require_debug_false', 'skip_suspicious_operations'],
            'class': 'django.utils.log.AdminEmailHandler'
        }
    },
    'loggers': {
        'django.request': {
            'handlers': ['mail_admins'],
            'level': 'ERROR',
            'propagate': True,
        },
    }
}