实战| 一次host头中毒导致的逻辑漏洞（骚思路）
2022-12-9 10:9:18 Author: 渗透师老A(查看原文) 阅读量:10 收藏

翻到某安全公众号时，发现的一个骚思路。

有些网站开发者会提取request包里的host头来获取域名信息，但是host头可以被修改，是不可信的。于是攻击者可以通过构造host头来进行投毒攻击。

例如发送包含受害者网站域名链接的功能，像是密码找回、发送验证链接等，只要业务上利用了类似于域名提取的功能，都可以尝试利用该攻击方法。这里以密码找回为例，进行一次host头投毒攻击。

示例

某网站存在密码找回功能，本例使用host头中毒来实现任意用户密码重置。打开密码找回界面，填写受害用户的邮箱，在最后的提交按钮用burpsuite截断，把host头更改成自己的服务器IP：

之后放行数据包，会提示找回密码邮件发送成功的信息，此时受害者邮箱会收到一封邮件：

可以看到，域名已经改成了我们在host头填写的服务器地址。这时受害者如果访问该链接，则会在我们的服务器上留下一条记录：

在把原域名和日志抓取到的url拼接一下，就能得到受害人的密码重置链接了。

后记

这个漏洞是1click的任意密码重置漏洞，利用了host头中毒的思路，我个人感觉还是比较新颖的。不过像大厂安防策略都会对request头数据进行检验，遇到不在白名单的域名直接会拒绝访问。

补充阅读

这个漏洞是1click的任意密码重置漏洞，利用了host头中毒的思路，我个人感觉还是比较新颖的。不过像大厂安防策略都会对request头数据进行检验，遇到不在白名单的域名直接会拒绝访问。

GET /web HTTP/1.1Host：www.xxxx.com

伴随云和虚拟主机的普及，单个Web服务器可以托管多个网站或应用程序。尽管这些网站都有各自不同的域名，但很有可能共享服务器同一个IP地址，这种情况下就需要通过Host头来进行区分了。

而这种漏洞可以造成包括：

Web缓存中毒、特定功能的业务逻辑缺陷、基于路由的SSRF、SQL注入等

1.忽略端口的检验某些过滤检查只验证域名，会忽略Host头中的端口。如果我们可以在Host头中写入非数字端口，就可以通过端口注入恶意Payload。GET /example HTTP/1.1Host：Website.com:bad-stuff-here
2.允许任意子域如果应用系统允许其域名下任意的子域通过，在这种情况下，可以通过子域来绕过验证。GET /example HTTP/1.1Host：hacked-subdomain.Website.com
3.注入重复的Host头有的时候我们可以添加多个Host头，而且一般开发者并没有预料到这种情况而没有设置任何处理措施，这就可能导致某个Host头会覆盖掉另一个Host头的值GET /exampleHTTP/1.1Host：Website.comHost：bad-stuff-here如果服务器端将第二个Host头优先于第一个Host头，就会覆盖掉它的值，然后中转组件会因为第一个Host头指定了正确的目标而照常转发这个请求包，这样就能绕过中间组件将Payload传递给服务器。
4.提供绝对URL正常情况下，"GET"的请求航采用的是相对地址，但是也允许使用绝对地址，就是将原本Host的值拼接到相对地址前面构成绝对地址，这样就可以利用Host头进行注入。GET http://Website.com/ HTTP/1.1Host：bad-stuff-here
5.添加换行有时候还可以通过使用空格字符缩进HTTP头来进行混淆，因为有些服务器会将缩进的标头理解为换行，而将其视为前面头值的一部分，有些服务器会完全忽略缩进的HTTP头，因此不同系统处理HTTP头可能会存在不一致的现象。GET /example HTTP/1.1Host：bad-stuff-hereHost：Website.com如果前端忽略缩进的头部，这个请求会被作为普通请求来处理。假设后端忽略前导空格优先考虑第一个Host头，这种不一致性会导致Payload的注入。
6.利用可覆盖Host的请求头有一些请求头的值是可以覆盖Host的值的，比如X-Forwarded-Host，当我们发出这样的请求时就会触发覆盖GET /exampleHTTP/1.1Host：Website.comX-Forwarded-Host：bad-stuff-here可以达到相同目的的还有这些头X-HostX-Forwarded-ServerX-HTTP-Host-OverrideForwarded
1.保护绝对URL2.验证Host头3.不支持Host覆盖头4.白名单允许的域5.小心使用仅限内部访问的虚拟主机
转自博客：https://k1nm0comHACK学习呀作者：洞爷湖

声明：本公众号所分享内容仅用于网安爱好者之间的技术讨论，禁止用于违法途径，所有渗透都需获取授权！否则需自行承担，本公众号及原作者不承担相应的后果.

学习更多渗透技能！供靶场练习技能

（扫码领白帽黑客视频资料及工具）


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg5NzU1MzM5Mw==&mid=2247513911&idx=1&sn=440b40e6e4f7484a874d3ca548eb1f7b&chksm=c072f1a9f70578bff26076af5cec52bad3fb2d8c854f79dcb1f363c1b80f2b4ff9356d04a47b#rd
如有侵权请联系:admin#unsafe.sh