Web项目中host头攻击漏洞

最新推荐文章于 2025-07-28 17:10:41 发布

原创最新推荐文章于 2025-07-28 17:10:41 发布 · 4.7k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#host攻击漏洞

WEB 专栏收录该内容

5 篇文章

订阅专栏

本文介绍了一种常见的Web安全漏洞——HTTP Host头攻击，并提供了一种解决方案：通过设置过滤器并使用白名单来验证每次访问的Host，有效防止非法Host造成的网站信息泄露。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

===============
Web项目在通过绿盟软件扫描的时候，提示“检测到目标URL存在http host头攻击漏洞”。漏洞的本意是，HTTP请求带了HOST头，WEB取了该HOST头作进一步动作，例如拼接URL。如果这个HOST是黑客非法伪造的，比如evil.com，那么拼接之后的URL就可能是http://evil.com/key=?value=,从而导致己方网站信息的泄露。解决方法如下：
设置一个过滤器，使用白名单对每次访问网站的HOST进行过滤。即当访问时，获取访问的Host，并与白名单中的信息进行比对，如果在白名单中有匹配的Host，则正常访问，否则，拒绝访问。

package ...
public class ExampleFilter implements Filter {

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest hreq = (HttpServletRequest) request;
        HttpServletResponse hres = (HttpServletResponse) response;
        //取请求Host
        String hostinfo = hreq.getHeader("header").trim();
        //读取白名单
        String[] whiteHostList = getWhiteList();
        //进行比对
        for(String whiteHost : whiteHostList) {
            if(whiteHost.equals(hostinfo)) {
                //说明访问者在白名单中
                chain.doFilter(request,response);
            } else {
                setMessage("非法Host访问，访问无效！");
                return;
            }
        }
    }
}