nginx：デバッグのためにHTTPリクエストをダンプします

• Ubuntu 10.04.2
• nginx 0.7.65

私のnginxサーバーに奇妙なHTTPリクエストが来るのが見えます。

何が起こっているかをよりよく理解するために、そのようなクエリのHTTPリクエストデータ全体をダンプしたいと思います。（つまり、すべての要求ヘッダーと本文をダンプできる場所にダンプします。）

これをnginxでできますか？あるいは、nginxを使用してこれらの要求をプロキシできる、すぐにこれを実行できるHTTPサーバーがありますか？

更新：このボックスには通常のトラフィックがたくさんあることに注意してください。すべてを低レベル（たとえば、tcpdump）でキャプチャし、後でフィルタリングしないようにしたいと思います。

書き換えルールで最初に適切なトラフィックをフィルター処理し（この場合は非常に簡単に作成できます）、偽のトラフィックのみを処理する方がはるかに簡単だと思います。

また、偽のトラフィックを別のボックスに転送して、そこにキャプチャできるようにしたくないだけtcpdumpです。

更新2：もう少し詳しく説明するために、偽のリクエストのfooGETクエリには（たとえば）という名前のパラメーターがあります（パラメーターの値は異なる場合があります）。適切なリクエストは、このパラメーターを持たないことが保証されています。

この方法で、tcpdumpまたはngrep何らかの方法でフィルタリングできる場合は、問題ありません。これらを使用します。

必要に応じて、前後の行数（-Bおよび-A args）を調整します。

tcpdump -n -S -s 0 -A 'tcp dst port 80' | grep -B3 -A10 "GET /url"

これにより、他の場所でオフロードする必要がある巨大なPCAPファイルを生成することなく、必要なHTTPリクエストをボックスで取得できます。

BPFフィルターは決して正確ではないことに注意してください。多数のパケットがいずれかのボックスを流れている場合、BPFはパケットをドロップできます。

リクエストをダンプすることの意味は正確にはわかりませんが、tcpdumpやwiresharkを使用してデータを分析できます。

# tcpdump port 80 -s 0 -w capture.cap

また、wiresharkを使用してファイルを開き、サーバー間の会話を確認できます。

mod_phpがインストールされたApacheにリクエストをプロキシする場合、次のPHPスクリプトを使用してリクエストをダンプできます。

<?php
$pid = getmypid();
$now = date('M d H:i:s');
$fp = fopen('/tmp/intrusion.log', 'a');

if (!function_exists('getallheaders')) 
{ 
    function getallheaders() 
    { 
           $headers = ''; 
       foreach ($_SERVER as $name => $value) 
       { 
           if (substr($name, 0, 5) == 'HTTP_') 
           { 
               $headers[str_replace(' ', '-', ucwords(strtolower(str_replace('_', ' ', substr($name, 5)))))] = $value; 
           } 
       } 
       return $headers; 
    } 
} 

function ulog ($str) {
    global $pid, $now, $fp;
    fwrite($fp, "$now $pid {$_SERVER['REMOTE_ADDR']} $str\n");
}

foreach (getallheaders() as $h => $v) {
    ulog("H $h: $v");
}
foreach ($_GET as $h => $v) {
    ulog("G $h: $v");
}
foreach ($_POST as $h => $v) {
    ulog("P $h: $v");
}
fclose($fp);

nginxを使用しているため、これは$_SERVER['REMOTE_ADDR']無意味な場合があることに注意してください。実際のIPをを介してApacheに渡す proxy_set_header X-Real-IP $remote_addr;必要があり、代わりにそれを使用できます（または単にを介してログに記録されることに依存しますgetallheaders()）。