漏洞修复-检测到目标URL存在http host头攻击漏洞

前言

这个漏洞通常表示目标URL会被截取，攻击者可以通过修改请求头中的”host”属性，导致最后导向的目标主机被篡改。漏洞说明如下：

1、检测工具ModHeader

ModHeader它可以用来伪造HTTP请求头，包含覆盖Chrome浏览器请求头的默认值。可在Chrome拓展程序中搜索安装。

2、复现漏洞

1. 访问网站，页面正常
   2.通过ModHeader篡改Host，此时刷新网站仍能正常显示
   

3、修复漏洞

在nginx配置中，指定server_name，并对host进行校验，配置如下：

保持Host篡改，此时访问网站报错403 Forbidden。

移除Host修改，此时可正常访问网站。至此，说明该漏洞修复成功，篡改Host将被拒绝访问。