Linux服务器缓存注入漏洞致存储耗尽：排查与防护方案求助

问题背景 #

近期遭遇可耗尽存储空间的漏洞，导致网站中断1分钟。已配置express-rate-limit防止请求滥用，但无效果，服务器存储被一次性填满，所有网站瘫痪，相关错误日志如下：

0|server   |  1: 0xa89e60 node::Abort() [node /root/server.js]
0|server   |  2: 0x9ade29 node::FatalError(char const*, char const*) [node /root/server.js]
0|server   |  3: 0xc7583e v8::Utils::ReportOOMFailure(v8::internal::Isolate*, char const*, bool) [node /root/server.js]
0|server   |  4: 0xc75bb7 v8::internal::V8::FatalProcessOutOfMemory(v8::internal::Isolate*, char const*, bool) [node /root/server.js]
0|server   |  5: 0xe3f6d5  [node /root/server.js]
0|server   |  6: 0xe4027c  [node /root/server.js]

漏洞可能的利用方式 #

• 无限制文件上传：网站存在未校验的文件上传接口时，攻击者可批量上传GB级超大垃圾文件，直接填满存储。express-rate-limit仅限制请求次数，但单请求即可上传超大文件，完全起不到防护作用。
• 日志/缓存爆炸：攻击者构造特殊请求，触发服务器生成大量异常日志或临时缓存文件，短时间内让日志文件暴涨占满磁盘。
• 数据库存储溢出：若提交内容、评论等接口允许写入超大数据，攻击者批量写入超大内容，导致数据库文件迅速膨胀耗尽存储。
• 临时目录恶意占用：利用Node.js应用生成临时文件但未及时回收的漏洞，持续生成临时文件填满磁盘。

防护措施 #

1. 封堵文件上传漏洞

• 严格限制上传文件大小：用multer等中间件设置limits.fileSize，比如限制为10MB以内，直接拒绝超大文件请求。
• 双重校验文件类型：同时校验文件后缀和文件头，仅允许业务所需的格式（如jpg、png），防止上传垃圾文件。
• 定时清理过期文件：配置脚本定期删除上传目录中的临时文件、用户废弃文件，避免长期占用存储。

2. 优化存储监控与隔离

• 设置磁盘告警阈值：用df脚本或监控工具，当磁盘使用率超过80%时触发告警，提前介入处理。
• 配置日志轮转：用logrotate工具定期切割日志文件，限制单日志文件大小，同时过滤无效日志减少冗余输出。
• 隔离应用存储：将不同网站的存储目录、数据库文件分开存放，避免一个应用耗尽存储影响其他服务。

3. 完善请求限制策略

• 限制请求体大小：在Express中通过app.use(express.json({ limit: '10mb' }))和express.urlencoded({ limit: '10mb' })设置请求体上限，防止超大请求体带来的存储/内存压力。
• 敏感接口强化防护：上传、内容提交等接口，除次数限制外，增加IP白名单、验证码验证，拦截恶意批量请求。

4. 修复代码中的存储泄漏

• 清理临时文件：确保所有临时文件使用后通过fs.unlink等方法及时删除，避免残留。
• 限制数据库写入大小：对提交数据做长度校验，避免单条数据过大导致数据库文件膨胀；定期清理无效数据。

内容的提问来源于stack exchange，提问作者user19455465