常见服务Host头攻

哎呦喂！我的网站又被Host头攻击了！——聊聊这个让人头秃的常见服务漏洞

一个让人抓狂的下午

各位看官，您猜怎么着？就在上周五，我正美滋滋地喝着咖啡，准备看看自己刚上线的小网站流量数据，结果一打开后台——我的天呐！ 满屏的报错日志，404错误满天飞，甚至还出现了莫名其妙的“Invalid Host Header”提示，那一刻，我手里的咖啡差点没端住，心里头一万只羊驼奔腾而过！

说实话，搞网络安全这么多年，Host头攻击这种常见服务漏洞我见得多了，但每次遇到还是忍不住想骂娘，您说气不气人？明明服务器配置得好好的，就这么个不起眼的小东西，愣是能让黑客钻了空子，把网站搞得乌烟瘴气，今天咱们就好好聊聊这个让人又爱又恨的Host头攻击,看看它到底是个什么妖魔鬼怪！

啥是Host头攻击啊？我咋这么倒霉！

咱们先说说这Host头是啥玩意儿。打个比方吧，您去朋友家做客，进门第一件事肯定是问：“哎，这是XX家吗？”这个“XX家”就相当于HTTP请求里的Host头，它告诉服务器客户端想访问哪个域名，服务器一看，哦，是找我的,那就把对应的内容端上来吧。

可问题是，有些服务器太实在了，只要Host头填得像个样，它就傻乎乎地照单全收，这时候黑客就笑了——嘿，我随便改改Host头，服务器居然就信了？那我可就不客气了！这就是Host头攻击的根源：服务器过度信任用户提供的Host头，不加以严格验证,结果被人家牵着鼻子走。

您可能会想：“那我不理它不就行了？”唉，哪有这么简单啊！最坑爹的是，Host头攻击往往会引发一连串连锁反应：密码重置链接被篡改啦、缓存投毒啦、甚至还能绕过访问控制直捣黄龙。我的天呐，想想都后怕！

那些年我踩过的Host头攻击之坑

既然说到这了，我就跟您分享分享我踩过的几个经典的Host头攻击场景,您看看是不是也遇到过类似的倒霉事儿。

第一个坑：密码重置链接被劫持，有一次，用户反馈说收不到密码重置邮件，我排查了半天，最后发现是攻击者通过修改Host头，让服务器生成了一条指向恶意域名的重置链接，您说这吓人不吓人？用户要是真点了那个链接,账号分分钟就被盗了！

第二个坑：Web缓存投毒，这个更阴险！攻击者利用一些CDN和反向代理对Host头的处理逻辑，把恶意响应缓存下来，然后所有访问这个URL的用户都中招了。哎呦喂，这波操作简直防不胜防，您辛苦维护的用户信任,就这么被生生糟蹋了！

第三个坑：绕过访问控制，有些安全策略是基于Host头做判断的，只有从内部域名访问的请求才允许通过”，结果您猜怎么着？黑客轻轻松松改个Host头，就能绕过这些限制，直接访问后台管理页面。我当时知道这个的时候，整个人都呆住了,感觉自己的防护体系跟纸糊的差不多！

咱们怎么治这个“头疼”病？

说了这么多糟心事，您肯定想问：“那到底咋办啊？总不能天天提心吊胆吧！”别急嘛，我这些年也算是跟Host头攻击斗智斗勇，总结了一些行之有效的防御手段,今天全部分享给您！

第一招：严格校验Host头，这就像小区保安认脸一样，服务器只接受认识的主机名，在Nginx或Apache里配置一个白名单，只允许可信域名通过，要是Host头不匹配，直接返回403错误。嘿，这招虽然老土，但确实管用啊！

第二招：用绝对URL代替相对URL，很多框架在生成链接时会动态获取Host头，咱们干脆改成固定配置的绝对地址，这样不管攻击者怎么改Host头，生成的链接始终指向我们自己的域名。这招够绝吧？ 釜底抽薪,从根儿上断了它的念想！

第三招：在应用层做好安全配置，就拿Spring Boot来说吧，可以通过设置server.address和server.port来固定绑定地址，还能利用UseForwardedHeaders中间件确保正确识别代理信息。您瞧，只要把这些配置弄明白了,Host头攻击拿咱一点办法都没有。

第四招：别忘了一旁的服务BGP，哦对了，这里插一句题外话，如果你用上了云服务，记得看看服务商有没有提供WAF等安全组件，启用后能挡掉一大批恶意请求,省心不少呢！