2015-07-28 1 views
0

Je ne peux pas accéder à un type de fichier spécifique sur mon serveur client (production).Apache, connexion réinitialisée sur un type de fichier spécifique et HTTP uniquement

Voici les résultats avec cURL:

curl "http://domain.tld/fonts/glyphicons-halflings-regular.eot" -I 
HTTP/1.1 200 OK 
Date: Tue, 28 Jul 2015 12:06:23 GMT 
Server: Apache/2.2.15 (Red Hat) 
Last-Modified: Tue, 19 May 2015 15:32:20 GMT 
ETag: "14023-4f42-516710421e900" 
Accept-Ranges: bytes 
Content-Length: 20290 
Connection: close 
Content-Type: application/vnd.ms-fontobject 

Le fichier est ici. Mais quand j'essaie d'obtenir le contenu du fichier:

curl "http://domain.tld/fonts/glyphicons-halflings-regular.eot" 
curl: (56) Recv failure: Connection was reset 

Je ne peux pas (encore) accéder au serveur de client, donc je suis en train de deviner ce qui ne va pas ici.

ce qui fonctionne jusqu'à présent:

curl "https://domain.tld/fonts/glyphicons-halflings-regular.eot" --insecure 

Il travaille en HTTPS, même s'il n'y a pas de certificat (ce qui est la raison pour laquelle j'utilise --insecure). Je reçois le contenu du fichier.

Le client peut obtenir le fichier s'il accède au fichier à partir d'une URL locale.

Je peux accéder à tous les autres fichiers sur le serveur, même dans le répertoire des polices. Je ne peux pas accéder à tous les fichiers .eot, même dans d'autres répertoires.

Donc, je pense que c'est l'un de ces 2 problèmes: - Configuration Apache /. Htaccess problème. - Problème de proxy/reverse proxy.

Qu'en pensez-vous? Quel genre d'autre test dois-je faire? Quelles informations dois-je demander au client?

Merci.

Répondre

0

Ok, voici la cause: Le pare-feu du client bloque le contenu du fichier .eot.

A vulnerability in Embedded Web Fonts Could Allow Remote Code Execution. 

http://www.checkpoint.com/defense/advisories/public/2006/cpai-2006-010.html

Comme les fichiers .eot sont utilisés par IE8 et inférieure, et les versions de navigateur ne sont pas tenus par le client, je l'ai simplement supprimé toutes les références à .eot fichiers.

Une autre solution consisterait à demander aux administrateurs de pare-feu du client d'ajouter une exception, car la gravité est faible.