Исходный сервер

Если он доступен в обход внешнего контура или принимает чужой адрес за свой, защитные меры прокси можно обойти.

1. 01

   В HTTP исходный сервер является источником достоверного ответа для ресурса, даже когда клиент обращается к нему через посредников.

   Граница применимости: Роль исходного сервера в HTTP.

2. 02

   За прокси исходный сервер отдельно проверяет допустимый путь, свой адрес и, при TLS, подлинность соседнего узла; внешний сертификат этого не доказывает.

   Граница применимости: Граница между обратным прокси и исходным сервером.

1. Закройте прямой внешний вход.
2. Проверьте ожидаемый Host.
3. Проверяйте подлинность соседнего узла.

• Первичная спецификация

  HTTP Semantics

  Internet Engineering Task Force · RFC 9110, June 2022

  Определяет stateless HTTP, origin server, intermediaries, target URI и security significance полей authority и Host.

  Открыть первоисточник ↗
• Первичная спецификация

  RFC 8446: The Transport Layer Security Protocol Version 1.3

  Internet Engineering Task Force · RFC 8446, August 2018

  Определяет TLS 1.3, включая encrypted channel, PSK authentication, PSK identity и PSK+(EC)DHE modes.

  Открыть первоисточник ↗
• Официальная документация

  Testing for Host Header Injection

  OWASP Foundation · OWASP Web Security Testing Guide, checked 30 August 2026

  Описывает атаки через Host/X-Forwarded-Host и рекомендует не доверять им при построении reset links, redirects и routing decisions.

  Открыть первоисточник ↗