溫馨提示×
您好，登錄后才能下訂單哦！
點擊 登錄注冊 即表示同意《億速云用戶服務(wù)條款》
您好，登錄后才能下訂單哦！
本篇文章為大家展示了Java HTTP Host 頭攻擊原理以及如何防御，內(nèi)容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。
對于 Java 程序員來說，一個服務(wù)器上跑多個程序是非常常見的現(xiàn)象。
但是這樣做后會有一個問題，那就是容易造成 Host 頭攻擊。這也是之前微信群里一個網(wǎng)友遇到的問題。今天我在這里給大家扯一扯。
host 頭(host header或稱主機頭)攻擊，非常常見。比如，在 jsp 中，我們通?？赡艽嬖陬愃葡旅娴拇a。
上面的幾種加載路徑，背后都是通過 host 取得 url 地址，再拼接上固定的內(nèi)容。
這個時候，假如我把你的 host 頭給改掉了，比如改成我的 www.xttblog.com。然后這時你在加載的 js 文件，可能就來源于我的網(wǎng)站中已做好陷阱的 js 文件了。
這樣，黑客就能拿到你的 cookie、用戶名、密碼等關(guān)鍵數(shù)據(jù)。這就是著名的 host 頭攻擊。
更有甚者，在你的網(wǎng)站上放入病毒，挖礦等代碼。而你還不知道你被利用了。
那么該怎么解決這類問題呢？很簡單，下面我們以 Nginx 為例，只需要修改一下配置文件即可。Apache 我就不舉例了。
添加一個默認 server，當 host 頭被修改匹配不到 server 時會跳到該默認 server，該默認 server 直接返回 403 錯誤。
重啟 nginx 即可。
除了這種做法，也可以在目標 server 添加檢測規(guī)則。比如下面的 if 判斷配置。
另外，在 Tomcat 的配置文件，我們也可以直接配置 Host 的 name 為具體的 ip 地址，不要配置 localhost。
說白了，這個漏洞是因為你使用了 Host 而沒驗證它。
目前，綠盟、burpsuite、360 等工具都可以對這一漏洞進行檢測！
上述內(nèi)容就是Java HTTP Host 頭攻擊原理以及如何防御，你們學到知識或技能了嗎？如果還想學到更多技能或者豐富自己的知識儲備，歡迎關(guān)注億速云行業(yè)資訊頻道。
免責聲明：本站發(fā)布的內(nèi)容（圖片、視頻和文字）以原創(chuàng)、轉(zhuǎn)載和分享為主，文章觀點不代表本網(wǎng)站立場，如果涉及侵權(quán)請聯(lián)系站長郵箱：is@yisu.com進行舉報，并提供相關(guān)證據(jù)，一經(jīng)查實，將立刻刪除涉嫌侵權(quán)內(nèi)容。
億速云公眾號
手機網(wǎng)站二維碼
