Add blacklist headers to protect against DoS attack
Dieses Issue hat noch niemand übernommen.
Bewertung
- Schwierigkeit
- 3/5
- Geschätzter Aufwand
- 1-2 Tage
- Anfängerfreundlichkeit
- 35/100
- Issue-Typ
- Bug
- Klarheit
- Größtenteils klar
- Aktivitätsstatus
- Veraltet
- Tech-Stack
- javascript, node.js
Rechercherichtung
Beginne in lib/http-proxy/common.js etwa bei Zeile 43, wo eingehende Header in die ausgehende Anfrage übernommen werden, und überprüfe die verknüpfte Behandlung ausgehender Header in Node.js. Reproduziere die gemeldete GET-Anfrage mit einem Trailer-Header und verifiziere, dass der Proxy nicht mehr zulässt, dass der daraus resultierende unbehandelte Fehler Node.js beendet. Erledigt ist dies, wenn der gemeldete DoS-Pfad verhindert wird und das Verhalten durch einen geeigneten Regressionstest abgedeckt ist.
Vom Indexierungsmodell aus dem Issue-Text verfasst.
Beschreibung
Hello, I have tried everything to contact the maintainers, nobody answer to me, there is my last try.
-
There is populate headers into outgoing request from incoming:
https://github.com/http-party/node-http-proxy/blob/master/lib/http-proxy/common.js#L43 -
if then add
Trailerheader with any value into the incoming request, that header will be handled by the internal nodejs http lib. For a GET-request, processing that header will trigger unhandled errorERR_HTTP_TRAILER_INVALID. https://github.com/nodejs/node/blob/38cc53845307fdb81dd50cfb7bcfc8c7b83b947c/lib/_http_outgoing.js#L538 -
An unhandled error will cause nodejs shutdown.
If any other project uses node-http-proxy package and just proxy any "user" request, all of them are vulneranilty to DoS attack
- Vorherrschende Sprache
- JavaScript
- Sterne
- 14.1k
- Forks
- 2k
- PR-Merge-Kennzahlen
- Keine gemergten PRs in 30 T.
Entwicklungsumgebung
Dieses Projekt bietet weder Dev-Container noch Dockerfile noch Beitragsleitfaden – die Einrichtung liegt bei Ihnen. Beginnen Sie mit der README; die allgemeinen Schritte stehen in unserem Leitfaden für den ersten Beitrag.
Erste Schritte
- Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
- Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
- Forken Sie das Repository und arbeiten Sie in einem Branch.
- Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.
Mehr aus http-party/node-http-proxy
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
http-party/node-http-proxy#1719 ·
-
Schwierigkeit 3/5 1-2 Tage Anfängerfreundlichkeit 72/100
http-party/node-http-proxy#1721 · 1 Kommentar ·
-
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 55/100
http-party/node-http-proxy#1715 · 1 Kommentar · 5 Reaktionen ·
-
Is this library is dead?Offen
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 15/100
http-party/node-http-proxy#1711 · 2 Kommentare ·
-
HTTP3 + QUIC support?Offen
Schwierigkeit 5/5 Über eine Woche Anfängerfreundlichkeit 25/100
http-party/node-http-proxy#1710 · 5 Reaktionen ·
Alle Issues in http-party/node-http-proxy
Ähnliche Issues
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100
Maintainer antworten meist innerhalb von 2 Tagen
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 72/100
ome/ngff-rfc8-revisions#50 ·
Maintainer antworten meist innerhalb von 3 Tagen
-
Bug: Batcher binds the texture that opens a new batch twice (one draw call per element with maxBatchableTextures = 1)Evtl. vergeben @darzarzycki hat das heute übernommen. Offen
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 77/100
Maintainer antworten meist innerhalb von 2 Tagen
-
[Open Source] PixelboltOffen
Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 84/100
521xueweihan/HelloGitHub#4297 ·
-
Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100
Maintainer antworten meist innerhalb von 1 Tag