тыкните носом что почитать, что бы обезопаситься от токого
Следовательно нужно создать default server в nginx, который будет обрабатывать все запросы с неродным %hostname%. Почитать в документации как обрабатывает nginx запросы (пишу по памяти, но найти линк несложно)что можно делать, когда в nginx не создан default server