HOST碰撞漏洞挖掘技巧，可以解决日常99%的问题！

在网络安全领域，各种漏洞的挖掘与防护始终是攻防双方关注的焦点。其中，HOST碰撞漏洞（也称为主机名冲突漏洞或HTTP Host头注入漏洞）作为一种常见的网络攻击手段，因其能够绕过访问控制、访问未经授权的资源等特性，备受攻击者青睐。本文将从HOST碰撞漏洞的原理、可能存在的地方、挖掘技巧、挖掘工具以及修复方法等方面进行全面分析，旨在帮助读者深入了解该漏洞，并提升相应的安全防护能力。

HTTP Host头部字段用于指定请求所针对的域名，以便服务器能够正确地将请求路由到相应的Web应用程序。从HTTP/1.1开始，HTTP Host头部字段成为强制性的请求标头。例如，当用户访问https://example.net/web-security时，其浏览器将组成一个包含Host头部字段的请求，如下所示：

GET /web-security HTTP/1.1
Host: example.net

随着云和虚拟主机的普及，单个Web服务器可以托管多个网站或应用程序。这些网站尽管拥有不同的域名，但可能共享同一个IP地址。在这种情况下，服务器通过接收到的HTTP请求中的Host头部字段来确定要访问的网站。

例如，在Nginx或Apache等服务器软件中，可以通过配置文件进行域名绑定。Nginx使用server_name指令，Apache使用ServerName指令来绑定域名。如果直接访问IP地址无法成功访问资源，必须通过绑定的域名才能成功获取页面内容。

如果Web服务器没有正确验证或处理HTTP请求中的Host头部字段，攻击者可以通过篡改该字段来执行恶意操作，如绕过访问控制、访问未经授权的资源等。具体来说，如果服务器配置不当或没有正确验证Host头部字段的值，攻击者就可以通过修改该字段来访问其他虚拟主机上的资源。

例如，某个服务器同时绑定了多个域名，并且没有正确验证Host头部字段，那么攻击者就可能通过发送包含恶意Host值的请求来访问其他域名绑定的资源。

HOST碰撞漏洞可能存在于各种使用HTTP协议的Web服务器和Web应用程序中，包括但不限于以下场景：

当域名服务下线或转内网后，如果只对域名进行了解绑，没有对服务器（如Nginx）的配置进行清理，就可能留下HOST碰撞漏洞的隐患。

在多个域名共享同一个IP地址的情况下，如果服务器没有正确验证Host头部字段的值，攻击者就可以通过修改该字段来访问其他虚拟主机上的资源。

服务器配置不当也可能导致HOST碰撞漏洞。例如，在Nginx或Apache等服务器软件中，如果配置了default_server或类似的默认处理规则，并且没有正确验证Host头部字段的值，就可能被攻击者利用。

一些Web应用程序在响应中直接包含了Host头部字段的值，并且没有进行适当的转义或过滤。这种情况下，攻击者可能会注入恶意脚本，从而在受害者的浏览器中执行任意代码。

在进行HOST碰撞漏洞挖掘之前，首先需要收集目标系统的相关信息，包括IP地址、开放的端口、使用的Web服务器类型及版本等。这些信息可以通过网络扫描工具（如Nmap）获取。

通过DNS查询或搜索引擎收集指向目标IP地址的域名。这些域名可能包括目标系统的子域名、测试域名或备用域名等。

可以使用以下方法进行验证：

• • curl命令：使用curl命令直接访问目标IP地址，并在请求头中指定Host字段为某个域名。如果返回正常页面内容，则可能存在HOST碰撞漏洞。

例如：

curl --resolve www.test.com:80:8.200.131.57 http://www.test.com

这段curl命令的意思是，在访问http://www.test.com的时候，将该域名的解析地址指定为8.200.131.57，端口为80。这个命令的作用是在进行HTTP请求时，显式地指定了域名解析地址，而不是依赖于系统的DNS解析。

• • 修改hosts文件：直接修改/etc/hosts文件，强制指定host域名对应的解析IP地址，然后使用浏览器访问该域名。如果返回正常页面内容，则可能存在HOST碰撞漏洞。

• • Python脚本：使用Python的requests库模拟HTTP请求，并在请求头中指定Host字段。如果返回正常页面内容，则可能存在HOST碰撞漏洞。

例如：

import requests

url = 'http://8.200.131.57'
headers = {'Host': 'www.test.com'}
response = requests.get(url, headers=headers)
print(response.text)

一旦确认存在HOST碰撞漏洞，攻击者可以进一步探索和利用该漏洞。例如，通过修改Host头部字段的值来访问其他虚拟主机上的资源，或者通过注入恶意脚本执行任意代码等。

为了高效地进行HOST碰撞漏洞挖掘，可以使用一些专门的工具。这些工具通常支持多线程检测，能够自动收集目标IP地址和域名信息，并发送包含恶意Host值的请求进行验证。以下是一些常用的HOST碰撞漏洞挖掘工具：

Hosts_scan是一款用于检测HOST碰撞漏洞的工具。它可以将搜集到的域名和IP分别放入hosts.txt和ip.txt（也可以在host中添加一些内网办公系统常用的子域名）运行，通过对比数据包大小和标题即可得到匹配成功的Host头与对应IP。

OneForAll是一款用于搜集子域名的工具。它可以帮助用户快速收集指向目标内网IP的域名，从而进一步进行HOST碰撞漏洞挖掘。

Goby是一款综合性的网络安全测试工具，支持多种漏洞的检测和利用。它可以帮助用户探测Web服务，收集目标IP资产，并为后续的HOST碰撞漏洞挖掘提供数据支持。

BurpSuite是一款集成化的Web应用程序安全测试平台。它可以帮助用户拦截和修改HTTP请求，从而验证HOST碰撞漏洞的存在。此外，Burp Suite还支持自动化扫描和漏洞利用等功能。

为了防止HOST碰撞漏洞被利用，需要采取相应的修复措施。以下是一些常用的修复方法：

服务器应该验证Host头字段的值，确保它符合预期的格式和长度。清理或拒绝包含非法字符或不符合规范的Host头值。

对于不同的Web服务器软件（如Apache、Nginx、Tomcat等），可以通过修改配置文件来增强对Host头字段的安全性。例如：

• • 在Nginx中，可以强制指定header内容或使用正则表达式来验证Host头值。

• • 在Apache中，可以通过配置ServerName和ServerAlias指令来绑定域名，并拒绝未绑定的域名请求。

如果可能的话，避免在应用程序中直接使用HOST头字段的值。可以通过其他方式获取所需的信息，例如使用反向代理服务器或负载均衡器来传递路由信息。

在传输过程中使用HTTPS协议来加密HTTP请求和响应，这可以减少中间人攻击的风险。同时，实施身份验证机制，确保只有授权的用户才能访问服务器资源。

监控服务器的访问日志和错误日志，及时发现并处理任何可疑的Host头攻击尝试。定期进行安全审计和渗透测试，评估服务器的安全性并修复发现的问题。

以下是一个HOST碰撞漏洞的实际案例分析，以帮助读者更好地理解该漏洞的挖掘与修复过程。

某公司网站部署在Nginx服务器上，并使用了多个虚拟主机来托管不同的业务。攻击者通过收集目标IP地址和域名信息，发现了该网站存在HOST碰撞漏洞。

攻击者首先使用Nmap工具对目标IP地址进行了扫描，确定了开放的端口和使用的Web服务器类型。然后，使用OneForAll工具收集了指向目标IP地址的域名信息。接下来，使用curl命令和Python脚本对目标IP地址进行了HOST碰撞漏洞验证。通过修改Host头部字段的值，攻击者成功访问了其他虚拟主机上的资源。

攻击者利用HOST碰撞漏洞，通过修改Host头部字段的值，访问了目标网站上的敏感信息和后台管理系统。然后，通过注入恶意脚本和执行任意代码等操作，进一步扩大了攻击范围和影响。

为了修复该漏洞，该公司采取了以下措施：

• • 对Nginx服务器进行了配置修改，强制指定了header内容，并使用正则表达式验证了Host头值。

• • 在应用程序中避免了直接使用HOST头字段的值，而是通过其他方式获取所需的信息。

• • 使用了HTTPS协议来加密HTTP请求和响应，并实施了身份验证机制。

• • 监控了服务器的访问日志和错误日志，及时发现并处理了任何可疑的Host头攻击尝试。

HTTP头部字段是HTTP协议中用于传递请求和响应信息的字段。以下是一些常用的HTTP头部字段及其含义：

• • Host：指定请求所针对的域名和端口号。

• • User-Agent：描述发起请求的客户端软件信息。

• • Accept：指定客户端能够处理的MIME类型。

• • Connection：控制连接的管理方式，如是否保持连接等。

• • Cookie：存储服务器在客户端上设置的会话信息。

• • Referer：表示请求的来源地址，常用于跟踪用户行为。

以下是一个Nginx配置示例，用于防止HOST碰撞漏洞：

server {
listen80;
server_name example.com www.example.com;

# 强制指定header内容，并验证Host头值
if($host~* "^(www.)?(example.com|test.com)$"){
# 正常处理请求
}
else{
# 返回403 Forbidden错误
return403;
}

# 其他配置...
}

（注：实际配置时应根据具体情况进行调整和优化。）

以下是一个使用Python脚本进行HOST碰撞漏洞验证的示例：

import requests

# 目标IP地址和域名
target_ip ='8.200.131.57'
target_domain ='www.example.com'

# 构造HTTP请求头
headers ={
'Host': target_domain,
'User-Agent':'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/58.0.3029.110 Safari/537.3'}

# 发送HTTP请求
url =f'http://{target_ip}'
response = requests.get(url, headers=headers)

# 输出响应内容
print(response.text)

（注：实际使用时应根据具体情况进行调整和优化。）

原文始发于微信公众号（HACK之道）：HOST碰撞漏洞挖掘技巧，可以解决日常99%的问题！