HOST头攻击详解

1. 基本概念

HOST头攻击(HTTP Host Header Attack)是一种利用HTTP请求头中Host字段的漏洞进行攻击的技术。当Web应用程序不正确地信任或使用Host头值时，攻击者可以操纵该值导致各种安全问题。

2. 攻击原理

HTTP/1.1协议要求每个请求必须包含Host头，用于指定请求的目标域名。Web服务器和应用程序通常依赖这个值来：

• 确定请求应该路由到哪个网站(虚拟主机)
• 生成绝对URL
• 进行安全验证
• 实现特定功能逻辑

当应用程序盲目信任Host头而不进行适当验证时，攻击者可以：

1. 修改Host头为任意值
2. 注入恶意内容
3. 绕过安全限制

3. 常见攻击场景

3.1 密码重置中毒

• 应用程序使用Host头生成密码重置链接
• 攻击者修改Host头指向自己控制的域名
• 受害者点击重置链接时，凭证被发送到攻击者服务器

3.2 Web缓存投毒

• 攻击者发送带有恶意Host头的请求
• 响应被缓存服务器缓存
• 后续用户访问时收到被污染的响应

3.3 业务逻辑绕过

• 应用程序基于Host头进行访问控制
• 修改Host头可绕过IP限制、地域限制等

3.4 SSRF攻击

• 应用程序使用Host头构造内部请求
• 攻击者可将其指向内部系统或服务

3.5 XSS攻击

• 应用程序将Host头值反射到响应中
• 未正确转义导致XSS漏洞

4. 漏洞检测方法

4.1 手动测试

1. 修改Host头为任意值，观察响应变化
2. 尝试注入特殊字符：example.com:<script>alert(1)</script>
3. 测试重复Host头：发送多个Host头
4. 测试绝对URI：GET http://evil.com/ HTTP/1.1

4.2 自动化工具

• Burp Suite的"Host header injection"扫描模块
• OWASP ZAP的"Host Header Injection"扫描器
• 自定义脚本批量测试

5. 漏洞利用技术

5.1 基本利用

GET / HTTP/1.1
Host: evil.com

5.2 端口操作

GET / HTTP/1.1
Host: evil.com:80

5.3 前缀/后缀注入

GET / HTTP/1.1
Host: victim.com.evil.com

5.4 CRLF注入

GET / HTTP/1.1
Host: victim.com\r\nX-Forwarded-Host: evil.com

5.5 多个Host头

GET / HTTP/1.1
Host: victim.com
Host: evil.com

6. 防御措施

6.1 服务器配置

• 配置Web服务器只接受有效的Host头
• Nginx示例：

server {
    listen 80 default_server;
    server_name _;
    return 444;
}
server {
    listen 80;
    server_name example.com www.example.com;
    # 正常配置
}

6.2 应用程序防护

• 在代码中显式验证Host头：

ALLOWED_HOSTS = ['example.com', 'www.example.com']

def get_host(request):
    host = request.get_host()
    if host not in ALLOWED_HOSTS:
        raise SuspiciousOperation("Invalid HTTP Host header")

6.3 其他措施

• 禁用绝对URI支持
• 使用SERVER_NAME而不是Host头
• 实施严格的输入验证
• 对反射的Host头值进行HTML编码

7. 实际案例

7.1 知名框架漏洞

• Django在1.10.3之前存在Host头验证漏洞
• Ruby on Rails早期版本存在类似问题

7.2 企业应用案例

• 某电商平台因Host头验证不严导致账户接管
• 某SaaS平台因缓存投毒导致XSS攻击

8. 高级技巧

8.1 绕过验证

• 使用非标准端口：example.com:1234
• 使用IP地址代替域名
• 利用Unicode同形字

8.2 组合攻击

• 结合CRLF注入实现更复杂攻击
• 与Open Redirect漏洞结合
• 利用DNS重绑定技术

9. 测试环境搭建

使用Docker快速搭建测试环境：

docker run -d -p 80:80 vulnerables/web-dvwa

测试请求示例：

GET / HTTP/1.1
Host: test

10. 相关工具和资源

• Burp Suite Professional
• OWASP Testing Guide: Host Header Injection
• PortSwigger Academy: Web Security Academy
• GitHub上的Host头攻击POC集合

11. 法律和道德考虑

• 仅对授权目标进行测试
• 获取书面许可
• 遵守当地法律法规
• 负责任地披露发现的问题