Azure VM上Express应用收到可疑请求的安全咨询

一、可疑请求的性质判断 #

这些请求属于互联网上常见的自动化恶意扫描行为，而非普通无害爬虫：

• 扫描main.html、default.asp等路径是在尝试寻找未加固的默认页面、遗留老旧应用入口；
• 针对solr/admin/cores、/ui/authentication的请求是在探测开源服务（如Solr）的未授权访问漏洞，这类扫描是批量发起的，目的是寻找可被利用的目标。
• 目前你的Express仅处理3个特定请求，这些扫描路径不在业务范围内，暂时不会直接威胁应用安全，但仍需警惕：大量无效请求会占用服务器资源，影响正常用户请求；若后续应用新增依赖或路由，这类扫描可能成为攻击入口。

二、迁移到IIS后的安全变化 #

迁移到IIS后，安全状况不会自动优化，但可借助IIS的安全机制强化防护：

• 你在Express中设置的重定向规则，可通过IIS的URL重写模块实现，但需确保规则配置准确，无遗漏；
• IIS自带请求筛选、IP限制等功能，能更精细化拦截恶意扫描请求；
• 若不做额外配置，IIS同样会被自动化扫描探测，甚至可能因默认配置（如默认文档、暴露版本信息）成为新的探测目标。

三、Express路由绕过风险排查 #

默认情况下，Express不存在能绕过自定义路由的"默认命令"，但需排查以下潜在风险点：

• 检查是否错误启用express.static中间件且路径配置不当：若将根目录设为静态资源目录，攻击者可能通过路径遍历访问敏感文件；
• 确认路由规则顺序：Express按路由定义顺序匹配，若重定向规则放在业务路由之后，可能导致部分请求被提前匹配；
• 排查第三方中间件漏洞：老旧或未维护的中间件可能存在路由绕过问题，建议定期更新依赖包。

内容的提问来源于stack exchange，提问作者JeroenCloudCTI