Re: проблема с error_page

[Maxim Dounin <mdounin@xxxxxxxxxx>]

Hello!

On Sun, Nov 08, 2009 at 12:10:39AM +0300, Михаил Монашёв wrote:

> Здравствуйте, Михаил.
> 
> Проблема с error_page осталась, но другая.
> 
> Сейчас конфиг для раздачи фавиконов сайтов вот такой:
> 
>         proxy_intercept_errors  on;
>         error_page      400 401 402 403 404 405 406 407 408 409 410 411 412 
> 413 414 415 416 417 422 423 424 425 426 449 500 501 502 503 504 505 506 507 
> 509 510 = /zero;
> 
>         location / {
>                 return 204;
>         }
> 
>         location = /zero {
>                 return 204;
>         }
> 
>         # aa.ru
>         location ~ "^/([a-z0-9-]{1,50}\.[a-z]{2,4})$" {
>                 proxy_set_header        Host    $1;
>                 proxy_pass              http://$1/favicon.ico;
>         }
> 
>         # bb.aa.ru
>         location ~ "^/([a-z0-9-]{1,50\}.[a-z0-9-]{1,50}\.[a-z]{2,4})$" {
>                 proxy_set_header        Host    $1;
>                 proxy_pass              http://$1/favicon.ico;
>         }
> 
>         # cc.bb.aa.ru или 111.222.33.44
>         location ~ 
> "^/([a-z0-9-]{1,50}\.[a-z0-9-]{1,50}\.[a-z0-9-]{1,50}\.[a-z0-9]{1,4})$" {
>                 proxy_set_header        Host    $1;
>                 proxy_pass              http://$1/favicon.ico;
>         }
> 
> 
> Но не знаю как решить проблему с отключением проксирования редиректов.
> error_page на 300-ые статусы ругается. И редиректы проксируются юзеру.
> Что  не мешает хакеру средиректить на страничку, где выдадут 401 код и
> юзер  вместо  фавиконки  увидит  окно  http-авторизации.  Ну  а дальше
> доверчивые юзеры вводят свои пароли...

У меня есть два замечания:

1. Задачу замены 3xx через error_page я в свое время решал для 
wap-сайтов (wml, ага, чтобы бекенды не конфигурировать лишнего).  
Где-то у меня на сайте валяется патч, но он для 0.5.*.  На текущие 
версии скорее всего не ляжет.

2. Если я правильно понимаю что ты хочешь сделать - тебе нужно не 
это, а image_filter.  Потому как вместо картинки отдать exploit - 
точно так же никто не мешает, надо содержимое хотя бы минимально 
проверять.

Maxim Dounin