Mod重写查询参数验证和阻塞也请求url阻塞

Question

在我的网站上，只允许少数查询参数，但是，一些扫描程序或黑客试图使用我的 php 应用程序不支持的唯一参数访问 url，我可以通过验证 $_GET 在 php 应用程序级别阻止它们参数，但我的服务器正在加载，所以如果参数无效，我想显示 403

查询参数可以是任意顺序

目前我尝试的如下

# IF there is query string
RewriteCond %{QUERY_STRING} ^.+$

# Then parameters can be only query|debug|lang
# block any extra parameter
RewriteCond %{QUERY_STRING} !(^|$)(query|debug|lang)=[^&]+(&|$) [NC]

RewriteRule ^(.*)$ - [F,L]

但这里的问题是

http://example.com/search?query=test&debug=on&lang=en&foo=bar

即使黑客通过foo=bar，它也通过了，我想显示404，在到达php应用程序之前严格检查参数。

这里是：Rewrite Tester

没有显示 404

带有查询参数的有效网址示例

http://example.com/search?query=test&debug=on&lang=en

带有查询参数的无效网址示例

(检查是否有除允许的以外的任何查询参数???)

http://example.com/search?query=test&debug=on&lang=en&foo=bar
http://example.com/search?a=1
http://example.com/search?a=2
http://example.com/search?query=test&a=1

我可以在 php 中做同样的事情，但我想在到达我的 php 应用程序之前阻止请求。

$allowed = array('query', 'lang', 'debug');
foreach($_GET as $key => $value)
{
         if(!in_array($key, $allowed))
         {
                  http_response_code(403)  
                  die('Forbidden');
         }
}

也在我的网站上，请求 uri 允许的字符是 [A-Za-z0-9_-]

如果请求 uri 包含任何额外内容，我该如何阻止

也想知道，

1. 是否也可以在重写时检查 POST 变量？
2. 我看到很多可疑的代理字符串我该如何阻止它们
3. 我还看到，在引用 url 黑客试图注入 xss 和 sqlinjection 字符串时，我该如何阻止它们。

Answer 1

你可以用这个规则替换你现有的规则：

# Then parameters can be only query|debug|lang
# block any extra parameter
RewriteCond %{QUERY_STRING} ^(?!(?:query|debug|lang)=[^&]+(?:&(?:query|debug|lang)=[^&]+)*$). [NC]

RewriteRule ^ - [F]

如果 URL 中存在除 query|debug|lang 之外的任何查询参数，则此规则将返回 403。

这里的(?!...) 是一个negative lookahead assertion，如果查询字符串除了给定参数之外还有其他内容，它将失败。

---

正则表达式详细信息：

• ^：开始
• (?!: 负前瞻开始
  • (?:query|debug|lang)=[^&]+：匹配 3 个允许的查询参数之一及其值
  • (?:：启动非捕获组
    • &：匹配一个&
    • (?:query|debug|lang)=[^&]+：匹配 3 个允许的查询参数之一及其值
  • )*：结束非捕获组。 * 表示 0 或属于该组
  • $：结束
• ): 否定前瞻表达式结束
• .: 确保查询字符串不为空

简单来说，当查询字符串具有除 3 个允许参数之外的任何查询参数时，否定前瞻断言失败。

Answer 2

您可以使用以下内容：

RewriteEngine on

#if there is query string
RewriteCond %{QUERY_STRING} ^.+$
# Then parameters can be only query|debug|lang
# block any extra parameter
RewriteCond %{QUERY_STRING} !^(query|debug|lang)=[^&]+&(query|debug|lang)=[^&]+&(query|debug|lang)=[^&]+$ [NC]
RewriteRule .* - [F,L]

这将为不匹配 RewriteCond 正则表达式的 URL 返回 403 禁止错误。