1
Web 服务器安全配置
在前一节中，我们讨论了 HTTP 拆分攻击的基础概念和原理。本节将重点探讨
如何通过 Web 服务器的安全配置来防范这种攻击。HTTP 拆分攻击利用了 HTTP
协议的弱点，通过恶意构造的请求来注入额外的 HTTP 头或响应，从而可能造
成缓存中毒、跨站脚本攻击（XSS）等安全问题。因此，Web 服务器的安全配
置显得尤为重要。以下是几种常见的安全配置方法，可以帮助防止 HTTP 拆分
攻击。
1. 配置 HTTP 头过滤
HTTP 头过滤是一种有效的防御机制，可以防止恶意用户通过构造特定的 HTTP
头来注入额外的响应。大多数现代 Web 服务器都提供了头过滤功能，可以通过
配置文件来实现。
Apache 配置示例
在 Apache 中，可以通过 mod_security 模块来实现 HTTP 头过滤。以下是一个简
单的配置示例：
# Enable mod_security
SecRuleEngine On
# Define a list of disallowed headers
SecRule REQUEST_HEADERS_NAMES "@rx (?:content-length|transfer-encoding)" "id:1000,phase
:1,deny,status:400,logdata:'Disallowed HTTP Header detected'"
# Block requests with invalid Content-Length
SecRule REQUEST_HEADERS:Content-Length "!^\d+$" "id:1001,phase:1,deny,status:400,logdata
:'Invalid Content-Length Header detected'"
