(JSON :: ParserError) "{N}: unerwartetes Token bei 'alihack <% eval request (\" alihack.com ")%>

Warum passiert es?

Es scheint ein Versuch zu sein, eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung zu testen oder auszunutzen. Möglicherweise eine generische Plattform (zielt auf eine andere Plattform als Rails) oder eine, die in früheren Versionen vorhanden war.

Der eigentliche Fehler rührt jedoch von der Tatsache her, dass die Anforderung ein HTTP PUT mit application/json-Kopfzeilen ist, der Body jedoch kein gültiger Json ist.

So reproduzieren Sie dies in Ihrer Entwicklungsumgebung:

curl -D - -X PUT --data "not json" -H "Content-Type: application/json" http://localhost:3000

Mehr Details

Rails action_dispatch versucht, alle Json-Anforderungen zu analysieren, indem der zu decodierende Körper übergeben wird

  # lib/action_dispatch/middleware/params_parser.rb

  def parse_formatted_parameters(env)
    ...
    strategy = @parsers[mime_type]
    ...

    case strategy
    when Proc
      ...
    when :json
      data = ActiveSupport::JSON.decode(request.body)
    ...

In diesem Fall handelt es sich nicht um einen gültigen JSON, und der Fehler wird ausgelöst, wodurch der Server eine 500 meldet.

Mögliche Lösungen

Ich bin nicht ganz sicher, was die beste Strategie ist, um damit umzugehen. Es gibt mehrere Möglichkeiten:

1. sie können die IP-Adresse mit iptables blockieren.
2. filtern (PUT oder alle) Anforderungen an /ALi.txt in Ihrer nginx- oder Apache-Konfiguration.
3. verwende ein Werkzeug wie den rack-attack gem und wende den Filter dort an. (Siehe dieses Rack-Angriff Problem )
4. verwenden Sie den Edelstein request_exception_handler , um den Fehler abzufangen und innerhalb von Rails zu behandeln (Siehe this SO answer und this github issue )
5. blockieren Sie PUT-Anforderungen in Rails 'routes.rb an alle URLs, die jedoch explizit zulässig sind. Es sieht so aus, als würde der Fehler in diesem Fall bereits ausgelöst, bevor er die Routen von Rails erreicht - dies ist möglicherweise nicht möglich.
6. Verwenden Sie die rack-robustness Middleware und fangen Sie den Json-Parser-Fehler mit etwas wie dieser Konfiguration in config/application.rb ab.
7. Schreiben Sie Ihre eigene Middleware. Etwas in der Richtung des Zeugs auf diesem Beitrag

Ich neige derzeit zu Optionen # 3, # 4 oder # 6. All dies könnte sich für andere Arten von Bots/Scannern oder andere ungültige Anfragen als nützlich erweisen, die in der Zukunft auftauchen könnten ...

Freut mich zu hören, was die Leute über die verschiedenen alternativen Lösungen denken