主机头攻击 php - 腾讯云开发者社区

文章/答案/技术大牛

发布

1回答

主机头攻击

xss

是否有一种方法可以将受害者发送到已编辑主机头的页面？谢谢!

浏览 0提问于2014-01-07得票数 7

2回答

IIS主机头攻击

web-application、web-browser、attack-prevention、asp.net、iis

IIS和ASP是否容易受到我们在Apache和Nginx上看到的主机头攻击？具体而言，使用Header重置密码或实现web缓存中毒的攻击。这些特定的攻击使用服务器和主机变量。

浏览 0提问于2014-03-31得票数 4

2回答

主机头注入攻击的流？

header、ssrf、host-header-injection

我是这个领域的新手，我想知道这个流是如何在主机头注入攻击中发生的。客户端生成请求。你能澄清一下吗？

浏览 0提问于2019-03-17得票数 2

2回答

如何使我的apache网站只接受带有特定条目的主机头

php、apache、request-headers

我的网站正受到攻击，我看到攻击者正在绕过cloudflare安全，使用IP而不是域名进入网站，如果我可以通过让基于apache的网站阻止在攻击者请求的主机头中没有我的网站名称的所有请求来保护我的网站，我正在徘徊

浏览 4提问于2021-09-27得票数 0

回答已采纳

2回答

防止主机头攻击

php、security

我扫描了我的网站使用Acunetix漏洞扫描器，我得到主机头攻击漏洞。 include 'core/init.php'; redirect('index.php');exit(); if($detect

浏览 3提问于2017-05-12得票数 5

回答已采纳

1回答

jetty，servlet 3.0，spring主机头攻击预防

java、spring、jetty、servlet-3.0、dropwizard

有一种已知的攻击类型，称为主机头攻击脚本。它基本上是通过以下操作更改"X-Forwarded-Host“头和所有调用：制作serverName的结果正好是X转发主机头值尽管存在恶意的X转发主机头，但是否还有其他方法可以正确检索服务器名称？所有这些都是通过只给出相对urls而不是完全urls来克服的。

浏览 0提问于2014-06-04得票数 3

1回答

主机头攻击:可能的攻击

webserver、shared-hosting、header

我们有一个由amazon托管的API服务器。服务器只有一个虚拟主机，因此它不强制执行Host头。但是，如果我们手动添加一个带有有效主机名的请求的Host头，服务器将返回成功。在一般情况下，是否有任何可能利用这一点？通常建议在每个请求中使用Host头吗？

浏览 0提问于2017-05-15得票数 1

回答已采纳

1回答

AWS ALB主机头攻击

amazon-web-services、security、aws-load-balancer、penetration-testing、aws-application-load-balancer

我正在设法阻止主机头攻击发生在我的ALB上。我的负载平衡器负责将端口80重定向到443，这是攻击可能的地方。现在，我能看到的唯一方法是手动添加我的每个域，然后将默认规则设为503。有人能想出一种在ALB中防止主机头操作的方法吗？

浏览 1提问于2020-09-29得票数 3

回答已采纳

2回答

相对路径可以减少HTTP主机头攻击吗？

header、host-header-injection

我一直在研究http主机头攻击。有许多例子，如<a href="https://_SERVER['HOST']/support">Contact support</a>。对于它所服务的所有资源使用相对路径的all服务器是否仍然会被HTTP主机头攻击所利用？

浏览 0提问于2021-11-15得票数 1

1回答

对Codeigniter的主机头攻击

php、codeigniter、security、http-headers

"HTTP主机头可以由攻击者控制。这可以通过使用web缓存中毒和滥用替代通道来利用。戊酯试图使用修改头主机请求。响应结果显示的是修改后的主机头。formulir 这是头sc： web应用程序应该使用SERVER_NAME而不是

浏览 2提问于2017-04-19得票数 2

1回答

如何在不使用http请求的主机头的情况下获取服务器名称

scala、security、playframework

不建议使用主机头，因为很容易进行主机头注入攻击。有获得服务器名称的安全方法吗？

浏览 0提问于2018-09-12得票数 1

回答已采纳

1回答

Kubernetes nginx入口-具有错误主机头的块请求

nginx、kubernetes

我希望阻止使用错误的主机头发送的请求(希望进行主机头攻击/缓存中毒)。为了在Nginx层阻止这些请求，我知道我可以添加一个带有default_server参数的服务器块，就像描述的那样。

浏览 0提问于2019-03-13得票数 0

2回答

为什么存在无效的主机标头错误，攻击者试图实现什么？

host-header-injection

我的理解是，这是由于有人手动更改主机头，或者通过其他域代理我的API。这可能是一个基本的问题，但有什么意义呢？他们想达到什么目的？据推测，这不是一次常规的MITM攻击，因为在主机头离开中间服务器时很容易纠正，而且他们没有这样做。

浏览 0提问于2020-03-12得票数 3

回答已采纳

1回答

Liferay中的主机报头攻击

liferay-7

为了防止liferaytest.com中的主机头攻击，有一个virtual.hosts.valid.hosts = localhost，127.0.0.1，liferaytest.com，venaytest1

浏览 0提问于2019-06-17得票数 0

2回答

是否可以从客户端发送X转发主机头？

web-browser、web

我发现了一份关于黑客一号的报告，该报告通过转发主机头为XSS支付了200美元。这是一个反射的xss，我想知道攻击者如何攻击受害者？在网络方面是否有类似于代理或其他方面的方式？

浏览 0提问于2022-02-02得票数 0

2回答

基于Spring引导嵌入式tomcat的主机头注入攻击

attacks、tomcat、host-header-injection

我们的应用程序已经通过PEN测试工具进行了检查，并对问题进行了描述：提出申请将攻击值应用于“主机”报头使用注入的攻击值观察302响应。预期行为:白名单所有重定向网址。确保在重定向发生之前，提醒用户他们正在离开域。也许有人可以帮助采取必要的步骤来防止这种攻击？

浏览 0提问于2018-05-31得票数 1

1回答

防止jboss中的主机头攻击

http、jboss

我的jboss服务器没有域，只使用IP访问当访问web服务器时，请使用：它转到404 web错误页面卷曲-i -H“宿主: www.google.com”"“HTTP/1.1 302临时移动传输-编码:分块服务器: VPS到

浏览 0提问于2018-05-23得票数 4

1回答

主机头注入

http-headers、penetration-testing、application-security、websecurity

我是一个安全和阅读主机头注入的初学者。我测试了一个应用程序是否存在此漏洞，并且可能存在一些请求，但开发人员实现了无缓存、无存储标志，并且该漏洞未处于密码重置请求中。所以第一件事是不会有缓存中毒。正如我所理解的那样，为了利用这个漏洞，我更改了主机头。所以我想知道为什么它会是一个漏洞，为什么用户会改变应用程序的主机？攻击者如何利用它呢？

浏览 6提问于2017-12-19得票数 2

回答已采纳

2回答

通过主机头利用HTTP重定向功能

http

但是，可以通过设置自定义主机头来利用重定向函数：Host: www.someevilsite.comHTTP/如果可以伪造远程用户的主机头，并让他单击自定义URL，那么用户可以被重定向到邪恶的页面，并有可能窃取他的密码。然而，我似乎无法想出一个方案，在这种情况下，我可以破坏用户的主机头。考虑到网站是通过HTTPs的，有什么方法可以操纵用户的主机头吗？

浏览 0提问于2017-06-29得票数 6

回答已采纳

2回答