一、Host头攻击的原理与危害

Host头是HTTP请求报文中的核心字段，用于指定请求的目标域名。在标准场景下，浏览器会根据用户输入的URL自动填充Host头，服务器据此将请求路由到对应的虚拟主机。然而，攻击者可通过构造恶意请求，篡改Host头指向内部服务或伪造域名，从而实施以下攻击：

缓存污染：若CDN或反向代理未校验Host头，攻击者可伪造域名将恶意内容注入缓存，导致合法用户访问时返回被篡改的页面。
SSRF攻击：通过篡改Host头指向内部服务（如数据库、Redis），诱导服务器发起内部请求，窃取敏感数据。
密码重置劫持：部分系统通过Host头生成密码重置链接，攻击者可伪造域名接收重置邮件，进而接管用户账户。

二、Nginx防御Host头攻击的核心机制

Nginx作为反向代理服务器，可通过以下配置严格校验Host头，阻断恶意请求：

1. 启用`server_name`严格匹配

在Nginx配置中，server_name指令用于定义虚拟主机匹配的域名。通过以下规则可确保仅处理合法域名的请求：

server {
    listen 80;
    server_name example.com www.example.com;  # 仅允许这两个域名
    if ($host !~* ^(example.com|www.example.com)$) {
        return 403;  # 非法域名直接拒绝
    }
    # 其他配置...
}

关键点：

使用正则表达式=~进行精确匹配，避免通配符或模糊匹配导致的绕过。
对非法域名返回403 Forbidden而非重定向，防止攻击者通过响应内容进一步探测。

2. 禁用未定义`server_name`的默认服务器

Nginx默认会将未匹配任何server_name的请求交给第一个server块处理。攻击者可利用此特性构造任意Host头发起攻击。解决方案如下：

# 显式定义默认服务器，拒绝所有请求
server {
    listen 80 default_server;
    server_name "";  # 空域名
    return 444;  # 关闭连接（非标准HTTP状态码）
}

效果：任何未在配置中显式声明的域名请求均会被丢弃，避免落入攻击者控制的默认服务器。

3. 结合`real_ip_header`与`set_real_ip_from`（适用于内网场景）

若Nginx部署在内网作为反向代理，且前端有负载均衡器（如某负载均衡服务）修改源IP，需通过以下配置确保Host头校验基于真实客户端IP：

http {
    real_ip_header X-Forwarded-For;  # 从X-Forwarded-For头提取真实IP
    set_real_ip_from 10.0.0.0/8;    # 信任内网负载均衡器的IP段
}

注意事项：

仅在明确知道前端代理的IP时使用此配置，避免攻击者伪造X-Forwarded-For头。
结合防火墙规则限制仅允许可信IP访问Nginx的80/443端口。

三、高级防御策略：WAF集成与日志监控

1. 集成Web应用防火墙（WAF）

对于高安全需求场景，可在Nginx前部署WAF模块（如某开源WAF引擎），通过规则引擎实时检测和拦截Host头异常请求。典型规则示例：

拦截包含特殊字符（如\n、\r）的Host头，防止HTTP响应拆分攻击。
限制Host头长度（通常不超过255字节），避免缓冲区溢出。

2. 完善日志记录与告警

配置Nginx记录所有被拒绝的Host头请求，便于后续审计与分析：

http {
    log_format host_attack '$remote_addr - $host - "$request" - $status';
    access_log /var/log/nginx/host_attack.log host_attack;
}

分析建议：

使用日志分析工具（如ELK）统计高频出现的非法域名，排查潜在攻击源。
对短时间内大量403响应的IP进行封禁，可通过fail2ban或防火墙动态黑名单实现。

四、测试与验证

完成配置后，需通过以下方法验证防御效果：

手工测试：使用curl构造非法Host头请求：
```
curl -H "Host: attacker.com" http://example.com
```
预期结果：Nginx返回403 Forbidden或444。
自动化扫描：使用工具（如某漏洞扫描工具）模拟Host头攻击，检查是否触发拦截规则。
性能影响评估：通过压测工具（如ab或wrk）对比配置前后的QPS（每秒查询率），确保安全策略未显著降低服务性能。

五、总结与最佳实践

最小权限原则：仅在server_name中声明必要的域名，避免使用通配符（如*.example.com）除非业务必需。
默认拒绝策略：对未匹配的域名请求一律拒绝，而非静默丢弃或重定向。
多层次防御：结合Nginx配置、WAF规则和日志监控构建纵深防御体系。
定期审计：每季度检查Nginx配置和WAF规则，确保与业务域名变更同步更新。

通过以上措施，可有效抵御Host头攻击，保障Web应用的安全性。对于云原生环境，建议结合容器平台的网络策略进一步限制入口流量，形成立体化防护。

Nginx安全加固：防御Host头攻击的实践指南