Host头攻击你会吗？一文讲透这个容易被忽视的安全漏洞
说实话,第一次听到“Host头攻击”这个词的时候，我心里是有点不屑的——不就是改个请求头嘛，能有多大事儿？结果后来真遇到了一次，才发现自己当初真是太天真了，今天就来跟大家唠唠这个事儿，Host头攻击你会吗？如果你还不太清楚，那这篇文章可得好好看看了。
什么是Host头攻击？先别急着划走
咱们平时访问网站,浏览器发出去的HTTP请求里都会带一个Host头，告诉服务器“我要访问的是哪个域名”，这本来是个挺正常的设计，毕竟一台服务器上可能跑着好几个网站嘛，但问题就出在——服务器太信任这个Host头了！
攻击者完全可以手动修改这个Host值,把它改成恶意域名或者乱七八糟的内容，如果服务器端没有做严格的校验，那可就热闹了：密码重置链接可能被指向钓鱼网站、缓存可能被投毒、甚至能绕过某些访问控制，你说吓人不吓人？
我亲身踩过的坑，现在想想还后怕
之前给一个项目做安全测试,我就随手用Burp抓了个包，把Host头改成了evil.com，结果你猜怎么着？密码找回邮件里的链接直接变成了http://evil.com/reset?token=xxx！当时我整个人都愣住了——这要是被真正的攻击者利用，用户点进去填个新密码，账号直接就没了啊！
所以啊,Host头攻击你会吗这个问题，真的不是闹着玩的，很多开发者觉得“谁会闲着没事改请求头”，但攻击者恰恰就喜欢这种被忽视的地方。
常见的几种攻击姿势，了解一下
- 密码重置劫持：就像我上面遇到的，重置链接里的域名跟着Host头走，用户一不留神就中招。
- 缓存投毒：把Host改成恶意值，让CDN或者反向代理缓存住错误内容，影响所有访问用户。
- 绕过访问限制：有些应用根据Host头判断内网/外网，改一下就能访问本该禁止的资源。
- XSS注入：某些场景下Host值会被直接回显到页面里，那就更刺激了。
怎么防？别光嘴上说“我会”
防护思路其实不复杂,关键是别信任客户端传来的任何东西，包括Host头：
- 白名单校验：服务器配置里明确列出允许的域名，不在列表里的直接拒绝，Nginx里配个
server_name就能挡掉一大批。 - 应用层也要校验：别光指望Web服务器，代码里获取域名的地方也得做判断。
- 密码重置链接用配置的固定域名：千万别动态拼Host，老老实实写死或者从配置文件读。
- 绝对路径URL：生成链接时用完整的、可信的base URL。
最后再唠叨两句
Host头攻击你会吗？看完这篇，我希望你能拍着胸脯说“会了”，安全这事儿吧，真不是等出了事才后悔的，平时多留个心眼，测试的时候随手改改Host头看看反应，说不定就能提前发现大问题。
行了,今天就聊到这儿，如果你觉得有用，欢迎把这篇Host头攻击你会吗分享给身边的开发小伙伴，咱们下回接着唠别的安全话题～
文章版权声明：除非注明，否则均为极客网安-咸鱼原创文章，转载或复制请以超链接形式并注明出处。