用haproxy的过滤表达式过滤恶意HTTP请求

最近，自己用C++写的一个HTTP服务器总是莫名的崩溃或CPU 100%挂死。挂死的时间全无规律，有时候数周都稳定，有时候一小时内多次挂死。

程序的业务逻辑很简单，仅仅只是根据映射，将短URL转换成长URL。而且格式不匹配的URL中，通过日志发现了很多怪异的请求。

显然，黑客想通过特殊字符，攻击这台服务器。
显然，我的HTTP协议解析的代码存在漏洞。

找到代码中的BUG，然后修复这个漏洞，这是肯定的。
不过还有更简单的替代办法：在HTTP服务器的前端接入一个haproxy，将非法的请求全部过滤掉。

下面就分享一些达到安全目的的haproxy表达式：

1、只要GET请求：我的业务只需要GET，其他都不要：
acl valid_method method GET
block if !valid_method

2、请求中必须要有Cookie字段：
acl forbidden_hdrs hdr_cnt(cookie) lt 1
block if forbidden_hdrs

3、只要GET的第一行，其他的头都可以删除掉：没办法删除所有的头，但是可以删除主要的
reqdel ^Accept:
reqdel ^User-Agent:
reqdel ^Host:
reqdel ^Pragma:
reqdel ^Cookie:
reqdel ^Accept-Language:
reqdel ^Accept-Encoding:
reqdel ^Accept-Charset:
reqdel ^Keep-Alive:
reqdel ^Cache-Control:

4、GET请求后的路径，只有10个字符，不是10个字符的都是错误的：
acl valid_pfx      url_reg -i ^/[^/]{10}$
block if !valid_pfx

OK，经过上面的表达式，已经比较安全了。下面再增添一点锦上添花的：
错误的请求中，一部分是请求http://my.ahfu.com/favicon.ico的，（域名不是我的，举个例子）这是因为firefox请求这个域名的时候，同时向这个域名请求图标。我自己实现的HTTP服务器上，当然没有图标了，怎么办？用过滤表达式把对图标的请求转到主站上去吧：
#修改之前的路径匹配
acl valid_pfx      url_reg -i ^/([^/]{10}$)|(favicon.ico$)
block if !valid_pfx
#在backend中加入下面的表达式：
acl icon_pfx url_beg /favicon.ico
redirect location http://www.ahfu.com/favicon.ico code 301 if icon_pfx


#注：haproxy的版本是最新的1.4.6