检测到目标URL存在http host头攻击漏洞怎么修复

Posted 2023-05-07

参考技术A 目标URL存在跨站漏洞和目标URL存在http host头攻击漏洞处理方案：iterator(); iter.hasNext();)
String key = (String) iter.next();
String[] values = (String[]) parameters.get(key);
for (int i = 0; i < values.length; i++)
values[i]=guolv(values[i]);
System.out.println(values[i]);



public void init(FilterConfig filterConfig)
throws ServletException


public static String guolv(String a)
a = a.replaceAll("%22","");
a = a.replaceAll("%27","");
a = a.replaceAll("%3E","");
a = a.replaceAll("%3e","");本回答被提问者采纳

目标URL存在http host头攻击漏洞

HW时遇到的问题

• • 📃漏洞描述
  • 📃解决办法

📃漏洞描述

为了方便的获得网站域名，开发人员一般依赖于HTTP Host header。例如，在php里用_SERVER[“HTTP_HOST”]。但是这个header是不可信赖的，如果应用程序没有对host header值进行处理，就有可能造成恶意代码的传入。

📃解决办法

web应用程序应该使用SERVER_NAME而不是host header。
在Apache和Nginx里可以通过设置一个虚拟机来记录所有的非法host header。

在Nginx里还可以通过指定一个SERVER_NAME名单，Apache也可以通过指定一个SERVER_NAME名单并开启UseCanonicalName选项。