Siber Güvenlik

Host Header Injection Zafiyeti

Günümüz web dünyasında, bir sunucu üzerinde birden çok uygulamanın hizmet verdiği durumlarla sık sık karşılaşmaktayız. Aynı sunucu üzerinde birden fazla uygulama "virtual host" tanımlamaları ile servis verebilir. Bu durumda, tüm bu uygulamaların IP adresi aynı olacağı için sunucuya gelen isteğin hangi uygulamaya yönlendirileceği bilgisi, HTTP isteğinde yer alan "Host" başlık bilgisi üzerinden belirtilmektedir.

Haktan Emik |

29.03.2021

Host Header Injection zafiyetinin ortaya çıkmasındaki en büyük sebep, Host başlık bilgisinin manipüle edilemeyeceği düşüncesidir. Host başlık bilgisi, gün sonunda HTTP isteğinde yer alan bir kullanıcı girdisi olduğu için buradan gelen veriye güvenilmesi ve kontrol edilmeden işletilmesi durumunda bu zafiyetin varlığından söz ediyor olacağız.

 

Uygulamamız üzerinde, bazı işlemler gerçekleştirirken host bilgisine ihtiyaç duyabiliriz. Örneğin, parola sıfırlama fonksiyonunda kullanıcı için bir parola sıfırlama bağlantısı oluşturduğumuzu düşünelim. İlgili kullanıcıya ait bir token oluşturuyoruz ve bu token'ı bağlantımıza ekleyerek, kullanıcıya mail gönderiyoruz.

 

Yapılan istek:

POST /password-reset HTTP/1.1

Host: example.com

email=test@example.com


Mail'de gelen bağlantı: https://example.com/password-reset?token=TOKEN_DEGERI

Kullanıcı, mailden gelen bağlantıyı ziyaret ederek parolasını değiştiriyor. Eğer bu akışta, kullanıcıdan gelen "Host" başlık bilgisine güveniliyorsa, saldırgan hedeflediği kişi için parola sıfırlama işlemi yaparken kendi kontrolünde olan sunucuyu "Host" başlığı üzerinden gönderdiğinde parola sıfırlama bağlantısının, kendi gönderdiği adres ile oluşmasını sağlayabilir.

 

Yapılan istek:

POST /password-reset HTTP/1.1

Host: hacker.com

email=test@example.com


Mail'de gelen bağlantı: https://hacker.com/password-reset?token=TOKEN_DEGERI

Maili alan kullanıcının, gelen bağlantıyı ziyaret etmesi durumunda parola sıfırlaması için kullanacağı token bilgisi, saldırganın eline geçecektir.
 

Host Header Injection zafiyeti üzerinden:

  • Önbellek zehirlenmesi
  • Parola sıfırlama bağlantılarının zehirlenmesi
  • Yönlendirmelerden kaynaklı olarak SSRF saldırıları gerçekleştirilebilir.


Zafiyetin giderilmesi için:

  • Absolute URL'ler yerine Relative URL'ler kullanılmalıdır. 
     

Örneğin:

Absolute URL:      <a href = "https://www.example.com/src/sample.html">

Relative URL:       <a href = "/src/sample.html">
 

  • Kullanıcıdan gelen host başlık bilgisine güvenilmemelidir. Örneğin, host bilgisi sunucu tarafında bir konfigürasyon dosyasına yazılabilir ve ihtiyaç duyulması durumunda buradan okunabilir. 
     
  • Host başlık bilgisi beyaz liste yaklaşımı ile kontrol edilmelidir. Gelen host bilgisi, sadece izin verdiğiniz host'lar içerisinde yer alıyorsa kabul edilmelidir.
     
  • Host başlık bilgisinin kontrol edildiği durumlarda saldırganlar, load blancer veya reverse proxy altyapılarında kullanılan "X-Forwarded-Host" gibi başlık bilgilerini isteğe dahil ederek bu durumu atlatmaya çalışabilir. Bu başlık bilgileri, siz özel olarak belirtmeseniz bile varsayılan olarak desteklenebilir. Bu sebeple, host başlık bilgisinin ezilmesine olanak tanıyan bu başlık bilgilerinin desteklenmediği kontrol edilmelidir.

 

Kaynaklar:

  • https://portswigger.net/web-security/host-header

Haktan Emik |

29.03.2021

Yorumlar

Muhammed Burak Şentürk
05.04.2021 - 09:33

Harika içerik 👍 elinize sağlık