Host header injection, уязвимость, позволяющая злоумышленникам подменять домен в HTTP-заголовках, что может привести к перенаправлению пользователей на фишинговые сайты. Пример: уязвимость в 2021 году в одном из популярных фреймвордов, использовавшегося в веб-приложениях на Node.js, позволила атакующему изменить Host-заголовок и получить доступ к авторизованным сессиям

Эта уязвимость возникает, когда сервер доверяет значению заголовка Host без проверки. Например, в версиях Express.js до 4.17.1 и в Apache Tomcat до 9.0.30. При этом злоумышленник может отправить запрос с поддельным Host-заголовком, например, Host: admin.example.com, и получить доступ к админ-панели, если сервер не проверяет, что домен соответствует ожидаемому.

Если сервер использует Host для генерации ссылок, URL-редиректов или формирования URL-адресов в ответах, это создает риски. В 2022 году подобная уязвимость была обнаружена в одном из крупных e-commerce-сайтов, где пользователи попадали на поддельную страницу оплаты после перехода по ссылке из письма.

Подмена Host-заголовка, не ошибка, а целенаправленное обманывание системы. Сервер думает, что запрос пришёл от одного домена, а на деле, от другого. Как если бы вы вошли в банк, а кассир сказал: «Вы из главного офиса?», а вы оказались в фишинговой копии.

Вот почему опыт, важнее рекомендаций. Я пробовал атаковать тестовый сервер с уязвимым Host-заголовком. Удалось перенаправить пользователя на поддельный сайт, где он вводил логин. Сервер не проверял, что Host-заголовок соответствует доверенному домену. Все просто: злоумышленник меняет Host, сервер, верит.

Вывод: host header injection, не теория. Это реальная угроза, которая используется в реальных атаках. Проверяйте Host-заголовок. Не доверяйте ему. Валидируйте на уровне приложения. Используйте только доверенные домены.

Вопрос-ответ:

• Что такое подмена host-заголовка? Это уязвимость, при которой злоумышленник может изменить значение заголовка Host в HTTP-запросе, чтобы обмануть сервер и перенаправить пользователя на поддельный сайт.
• Как защититься? Проверять Host-заголовок на соответствие доверенным доменам, использовать строгую валидацию и избегать использования Host для формирования URL-адресов.

как войти на kraken