HTTP Host头攻击详解

一、攻击描述
HTTP Host头攻击是指攻击者篡改HTTP请求中的Host头部，利用服务器对该头部的不安全处理方式，实施攻击的一类安全漏洞。Host头部是HTTP/1.1的必需字段，用于指明客户端想要访问的域名。当Web应用程序错误地信任或使用Host头值时，可能导致多种安全问题，包括：

• Web缓存投毒：诱使缓存服务器存储恶意响应。
• 业务逻辑绕过：如密码重置功能中，使用Host头生成重置链接。
• 服务端代码注入：将Host头值直接用于脚本、重定向或SQL查询。
• 访问内部服务：通过修改Host头，攻击者可能访问到同一服务器上的内部虚拟主机或服务。

二、攻击原理与步骤

1. Host头部的作用
   HTTP/1.1中，一个服务器可能托管多个网站（虚拟主机），Host头用于指定客户端要访问的具体域名。例如，访问example.com时，浏览器发送的请求头包含：Host: example.com。服务器根据此值将请求路由到对应的网站。

2. 攻击前提条件

   • 应用程序直接使用Host头的值而不验证。
   • 应用程序将Host头用于生成绝对URL、重定向地址、密码重置链接、CSP（内容安全策略）头或数据库查询等敏感操作。
   • 服务器可能配置为信任任意Host值，或将第一个虚拟主机作为默认站点，允许攻击者访问内部服务。

3. 常见攻击场景与步骤
   场景一：密码重置链接篡改

   • 攻击步骤：
     1. 受害者请求重置密码，服务器使用Host头生成重置链接：https://[Host]/reset?token=xxx。
     2. 攻击者拦截请求，将Host头改为自己的域名：Host: evil.com。
     3. 服务器生成链接：https://evil.com/reset?token=xxx。
     4. 受害者收到邮件，点击链接跳转到攻击者控制的evil.com，攻击者获取token并重置受害者密码。

   场景二：Web缓存投毒

   • 攻击步骤：
     1. 攻击者发送请求：GET / HTTP/1.1，Host: evil.com，并携带恶意载荷（如XSS脚本）。
     2. 服务器错误地将Host头用于生成响应内容，例如包含Host值的JavaScript：<script>var host = 'evil.com';</script>。
     3. 中间缓存服务器（如CDN）缓存了此恶意响应。
     4. 其他用户访问同一URL时，收到缓存的恶意响应，执行XSS攻击。

   场景三：内部服务访问

   • 攻击步骤：
     1. 服务器内部有管理接口admin.internal，仅允许内部访问。
     2. 攻击者发送请求：Host: admin.internal。
     3. 服务器未验证Host，将请求路由到内部管理站点，攻击者可能访问或攻击内部服务。

4. 攻击变种

   • X-Forwarded-Host头攻击：许多代理服务器（如Nginx、Apache）使用X-Forwarded-Host头传递原始Host值。攻击者可能同时篡改Host和该头，以绕过某些验证。
   • Host头注入：将Host值插入响应头（如Location重定向），导致开放重定向或CSP绕过。

三、防御措施

1. 服务器端验证Host头

   • 配置服务器仅接受合法的Host值。例如，在Apache中：

     <VirtualHost *:80>
         ServerName example.com
         <Location />
             Order Deny,Allow
             Deny from all
             Allow from example.com
         </Location>
     </VirtualHost>
     

   • 在Nginx中：

     server {
         listen 80;
         server_name example.com;
         if ($host != "example.com") {
             return 444; # 关闭连接
         }
     }
     

2. 应用程序层防御

   • 避免直接使用Host头。使用服务器配置中固定的域名（如环境变量）生成绝对URL。
   • 如果必须使用Host头，进行严格验证：检查是否在允许的域名列表中，拒绝包含特殊字符（如换行、空格）的值。
   • 对于重定向或链接生成，使用相对路径或从可信源获取域名。

3. 安全编码示例

   • 不安全的代码（PHP示例）：

     $resetLink = "https://" . $_SERVER['HTTP_HOST'] . "/reset?token=$token";
     

   • 安全的代码：

     $allowedHosts = ['example.com', 'www.example.com'];
     $host = $_SERVER['HTTP_HOST'];
     if (!in_array($host, $allowedHosts)) {
         die("Invalid Host header");
     }
     $resetLink = "https://example.com/reset?token=$token"; // 使用固定域名
     

4. 网络与代理配置

   • 在反向代理或负载均衡器中，剥离或覆盖不可信的Host头。
   • 设置默认虚拟主机，拒绝未知Host的请求（如返回444状态码）。

5. 监控与日志

   • 记录所有异常的Host头值，用于检测攻击尝试。

四、总结
HTTP Host头攻击利用了应用程序对Host头的过度信任，可能引发缓存投毒、业务逻辑绕过等高风险漏洞。防御核心在于：服务器严格验证Host、应用程序避免直接使用Host头、网络层配置安全策略。在开发和部署过程中，应始终将Host头视为不可信输入，并进行严格验证。