搜索

[18283] 2021-02-09_防止SSL证书泄露你的源站IP

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-02-09_防止SSL证书泄露你的源站IP 防 止 S S L 证 书 泄 露 你 的 源 站 I P L u m i n o u s   H A C K 之 道   2 0 2 1 - 0 2 - 0 9 有 的 时 候 ， 我 们 套 C D N 是 为 了 保 护 相 对 较 为 脆 弱 的 源 站 ， 在 C D N 上 平 台 上 实 现 对 D D o S 、 C C 之 类 攻 击 的 防 护 ； 所 以 相 应 的 ， 我 们 也 不 希 望 它 被 泄 露 出 去 ， 一 旦 攻 击 者 绕 过 C D N 直 接 攻 击 源 站 ， 我 们 在 C D N 上 构 建 的 防 御 措 施 便 成 了 摆 设 ， 直 接 快 进 到 “ 后 院 起 火 ” 。 如 果 你 有 心 的 话 ， 可 能 会 听 说 过 C e n s y s 这 个 网 站 ， 查 一 下 自 己 套 了 C D N 的 站 点 是 不 是 被 他 扫 到 了 ？ h t t p s : / / c e n s y s . i o / i p v 4 不 知 道 你 们 的 结 果 如 何 ， 我 身 边 的 朋 友 是 有 几 个 中 招 的 了 … … 想 要 不 被 他 看 穿 也 很 简 单 ， 总 而 言 之 就 一 句 话 ： 减 少 默 认 证 书 携 带 的 信 息 。 一 、 生 成 一 、 生 成 I P 证 书 证 书 通 过 证 书 特 征 去 匹 配 服 务 器 ， 首 要 的 就 是 其 中 包 含 的 域 名 ， 其 次 是 签 发 的 C A 以 及 详 细 的 证 书 信 息 。 之 前 有 人 提 到 过 自 己 O p e n S S L 签 发 自 签 名 证 书 ， 但 是 如 果 自 签 名 证 书 特 征 比 较 明 显 ， 就 还 可 以 通 过 证 书 的 信 息 大 致 筛 查 可 能 是 你 持 有 的 其 他 服 务 器 。 拿 我 的 一 个 反 例 给 大 家 看 ， 通 过 M y S S L 这 一 C A 关 键 词 ， 就 能 轻 松 揪 出 我 在 用 的 某 几 台 服 务 器 。
所 以 用 作 保 护 服 务 器 的 默 认 证 书 要 符 合 以 下 两 个 条 件 ： 第 一 ： 不 包 含 任 何 域 名 信 息 ， 所 以 配 置 为 服 务 器 的 I P 证 书 最 佳 第 二 ： C A 下 的 同 类 型 证 书 足 够 大 众 ， 不 易 被 特 征 匹 配 到 如 果 执 意 要 自 签 名 的 话 ， 推 荐 以 下 两 个 ： M y S S L ： h t t p s : / / m y s s l . c o m / c r e a t e _ t e s t _ c e r t . h t m l M k C e r t ： h t t p s : / / g i t h u b . c o m / F i l o S o t t i l e / m k c e r t 经 过 对 这 些 的 思 考 之 后 ， 我 觉 得 还 是 签 发 一 个 有 效 的 I P 证 书 对 于 隐 藏 源 站 最 有 效 。 目 前 能 免 费 提 供 9 0 天 的 I P 证 书 的 商 家 就 两 个 ， 一 个 Z e r o S S L ， 另 一 个 是 环 智 中 诚 的 E n c r y p t i o n 3 6 5 。 前 者 已 经 免 费 的 够 久 了 ， 签 发 量 极 大 ； 后 者 推 出 来 没 多 久 ， 还 只 能 用 A P I 或 者 宝 塔 客 户 端 签 发 ， 所 以 无 脑 推 荐 前 者 Z e r o S S L 。 Z e r o S S L 的 W E B 端 限 制 诸 多 ， 而 A C M E 端 则 与 L E 几 乎 一 致 ， 但 是 很 遗 憾 我 尝 试 了 通 过 A C M E 并 不 能 签 发 他 家 的 I P 证 书 ， 所 以 还 是 W E B 端 处 理 吧 。 整 个 签 发 流 程 非 常 流 畅 ， 将 你 的 服 务 器 I P 填 写 在 域 名 一 栏 即 可 ， 由 于 是 I P 证 书 因 此 仅 支 持 H T T P 校 验 ， 将 对 应 的 验 证 文 件 放
置 到 其 下 文 件 夹 即 可 ， 提 交 C A 扫 描 成 功 后 几 乎 是 秒 下 发 。 这 个 默 认 的 证 书 过 期 了 也 无 所 谓 ， 保 持 它 作 为 默 认 证 书 部 署 着 就 可 以 了 ， 反 正 目 的 也 不 是 用 它 来 进 行 访 问 。 二 、 配 置 默 认 证 书 二 、 配 置 默 认 证 书 我 的 服 务 器 用 的 是 N G I N X ， 直 接 单 独 新 建 一 个 v h o s t 比 如 ， 为 它 配 置 好 将 刚 才 签 发 的 证 书 。 然 后 在 配 置 文 件 s e r v e r 段 中 添 加 参 数 ， 让 其 作 为 默 认 主 机 去 响 应 ， 同 时 加 上 ， 让 此 v h o s t 不 对 外 提 供 内 容 。 三 、 效 果 检 查 三 、 效 果 检 查 现 在 你 用 I P 或 者 任 意 请 求 头 去 扫 描 的 话 ， 看 到 的 便 只 有 你 的 I P 证 书 的 信 息 了 ， 这 样 基 本 上 就 隐 藏 了 你 的 默 认 证 书 所 包 含 的 信 息 了 。 . w e l l - k n o w n p k i - v a l i d a t i o n d e f a u l t . c o m d e f a u l t _ s e r v e r r e t u r n   4 4 4
四 、 结 语 四 、 结 语 解 决 这 种 泄 露 源 站 的 问 题 还 有 几 种 其 他 的 方 案 ， 比 如 只 监 听 并 以 I P v 6 为 源 站 、 只 允 许 C D N 段 访 问 你 的 服 务 器 等 ， 这 都 是 绝 佳 的 解 决 方 案 。 但 是 实 际 情 况 中 特 别 是 网 站 多 了 情 况 愈 加 复 杂 ， 一 味 地 去 应 用 白 名 单 也 可 能 给 自 己 带 来 一 些 不 必 要 的 麻 烦 。 还 有 就 是 屏 蔽 C e n s y s 扫 描 的 I P 段 ， 其 实 这 是 一 种 掩 耳 盗 铃 的 做 法 ， 据 我 所 知 包 括 国 内 的 I P I P . N E T 以 及 一 众 安 全 厂 商 都 在 做 这 样 的 全 网 扫 描 ， 单 单 去 屏 蔽 是 屏 蔽 不 完 的 。 除 此 之 外 ， 还 有 要 注 意 部 分 S M T P 的 请 求 头 中 也 会 泄 露 源 站 的 信 息 ， 比 如 我 使 用 的 腾 讯 企 业 邮 箱 ， 之 前 朋 友 提 供 的 解 决 方 案 是 拿 高 防 的 服 务 器 做 个 中 转 ？ 如 果 有 相 关 经 验 的 小 伙 伴 可 以 分 享 一 下 经 验 ， 我 是 因 为 源 站 一 直 是 暴 露 在 外 面 的 所 以 就 没 有 太 在 乎 这 些 细 节 ， 不 过 还 是 挺
好 奇 该 怎 么 比 较 好 地 处 理 这 些 问 题 。 作 者 ： L u m i n o u s ， 文 章 来 源 ： h t t p s : / / l u o t i a n y i . v c / 点 击 上 方 ， 关 注 公 众 号 点 击 上 方 ， 关 注 公 众 号 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理