HOST碰撞挖掘隐蔽资产技术详解

一、反向代理基础概念

1.1 反向代理定义

反向代理是一种服务器配置，它代理客户端的请求并将其转发到一个或多个后端服务器。在这种模式下：

• 客户端不知道实际的后端服务器地址
• 所有请求由反向代理服务器接收并转发
• 后端服务器处理后将结果通过代理返回给客户端

1.2 与正向代理的区别

1.3 反向代理工作流程

1. 客户端请求域名（如a.test.com）
2. DNS解析返回反向代理服务器IP（如210.120.1）
3. 反向代理服务器根据配置规则转发请求到后端服务器（如210.120.1.111）
4. 后端服务器响应通过代理返回给客户端

二、HOST碰撞原理

2.1 基本概念

HOST碰撞是反向代理配置不当导致的安全问题，使得攻击者可以通过特定技术发现隐藏的后端服务。

2.2 典型配置场景

1. 将域名a.test.com解析到反向代理IP（210.120.1）
2. 在反向代理服务器配置：
   • 接收a.test.com的请求
   • 转发到后端服务器210.120.1.111
3. 直接访问210.120.1.111将被拒绝

2.3 漏洞产生原因

当反向代理服务器仅校验Host头而忽略IP时，可能出现：

• 使用非常规域名访问反向代理IP
• 反向代理仍将请求转发到后端
• 后端服务器接受非常规Host头的请求

三、HOST碰撞利用方法

3.1 准备工作

1. 收集目标相关域名（子域名、历史域名等）
2. 获取目标IP地址段（历史解析记录、旁站等）
3. 整理域名-IP对应关系表

3.2 碰撞测试步骤

1. 对每个目标IP发起HTTP请求
2. 在请求头中设置不同的Host值

   GET / HTTP/1.1
   Host: target-domain.com
   

3. 分析响应差异：
   • 状态码（200 vs 403/404）
   • 响应内容长度
   • 特殊头信息

3.3 自动化工具

推荐工具：

• HostCollision
• HostScan
• 自定义Python脚本

示例Python脚本结构：

import requests

domains = ["a.test.com", "b.test.com"]
ip = "210.120.1.1"

for domain in domains:
    headers = {"Host": domain}
    try:
        r = requests.get(f"http://{ip}", headers=headers)
        print(f"{domain}: {r.status_code} {len(r.text)}")
    except Exception as e:
        print(f"{domain}: Error - {str(e)}")

四、防御措施

4.1 服务器配置建议

1. 反向代理服务器：

   • 严格校验Host头
   • 未匹配域名返回统一错误页面
   • 记录异常Host头的访问日志

2. Nginx示例配置：

server {
    listen 80 default_server;
    server_name _;
    return 444; # 关闭连接
}

server {
    listen 80;
    server_name a.test.com;
    location / {
        proxy_pass http://backend_server;
    }
}

4.2 网络架构建议

1. 后端服务器配置防火墙：

   • 仅允许反向代理服务器IP访问
   • 屏蔽外部直接访问

2. 定期安全审计：

   • 检查域名解析记录
   • 测试非常规Host头的访问

五、实战案例

5.1 典型案例分析

某企业使用以下架构：

• 反向代理IP：203.0.113.10
• 合法域名：api.company.com
• 历史域名：legacy.company.com（已停用但后端仍存在）

攻击步骤：

1. 发现203.0.113.10为反向代理
2. 尝试Host: legacy.company.com
3. 获得200响应，发现旧版API接口
4. 旧接口存在未修复漏洞

5.2 漏洞挖掘技巧

1. 关注以下响应特征：

   • 不同Host头返回不同状态码
   • 响应内容长度差异显著
   • 出现非常规HTTP头

2. 特殊Host头尝试：

   • 本地开发域名（dev、test、staging）
   • 历史收购域名
   • 拼写错误域名（如gogle.com）

六、总结

HOST碰撞技术要点：

1. 依赖反向代理配置不当
2. 需要充分的信息收集（域名+IP）
3. 关键在于非常规Host头的尝试
4. 防御需双向配置（代理+后端）

安全建议：

• 企业应定期进行HOST碰撞自检
• 渗透测试中应包含此项检测
• 开发环境与生产环境严格隔离