⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça somente leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

HUNT-HOST-HEADER — Injeção de Cabeçalho Host

Fundamentação / Proveniência

Esta habilidade é construída a partir da literatura pública sobre ataques de Host-header, não são payloads inventados. Cite a fonte da técnica em seu relatório, nunca um ID fabricado:

• Classe de envenenamento de redefinição de senha — a descrição canônica é a de Skelet/Detectify-era "Practical HTTP Host header attacks" (o caso Django request.get_host() → link-de-redefinição-de-senha). Muitos frameworks construíram o URL de redefinição a partir do Host da solicitação sem uma lista de permissões no estilo ALLOWED_HOSTS. Cite o framework + o comportamento de Host refletido que você realmente observou.
• Envenenamento de cache web via Host não-chave / X-Forwarded-Host — PortSwigger Research, James Kettle, "Practical Web Cache Poisoning" (2018) e "Web Cache Entanglement" (2020). Estes definem o envenenamento de entrada não-chave, que é o mecanismo por trás do envenenamento de X-Forwarded-Host.
• SSRF baseado em roteamento — PortSwigger Research, "Cracking the lens" / SSRF baseado em roteamento (o cabeçalho Host direciona a seleção upstream do front-end).

Ao escrever o relatório, nomeie o comportamento exato que você reproduziu (cabeçalho refletido, HIT de cache em uma chave nova, HIT OOB do seu Collaborator). Não copie um CVE ou ID H1 que você não verificou — uma citação ausente é sempre melhor do que uma incorreta.

Alvos de Joia da Coroa

Injeção de cabeçalho Host que atinge links de redefinição de senha = Crítico (ATO para qualquer usuário).

Cadeias de maior valor:

• Envenenamento de redefinição de senha → ATO — o servidor constrói o link de redefinição a partir do Host da solicitação; o atacante define Host: evil.com; o e-mail de redefinição da vítima aponta o token para o atacante → token capturado ao clicar → ATO completo. Variante pré-tomada de controle de conta: mesmo a vítima solicitando sua própria redefinição vaza o token para evil.com.
• Envenenamento de cache web via Host não-chave — um CDN/proxy reverso armazena em cache uma resposta que reflete um X-Forwarded-Host do atacante em um URL absoluto (script src, link, redirecionamento) → entrada envenenada servida a todos os visitantes posteriores nessa chave de cache → XSS em massa/redirecionamento/bypass de CSP.
• SSRF baseado em roteamento — o front-end usa o cabeçalho Host em si para escolher o upstream; Host: 169.254.169.254 (ou um nome de host interno) faz com que ele encaminhe sua solicitação para esse destino → metadados da nuvem / painéis de administração internos.
• SSRF de substituição de caminho / bypass de ACL — IIS/ASP.NET/Spring honram X-Original-URL / X-Rewrite-URL para substituir o caminho roteado → alcançar /admin ou endpoints internos que o ACL de borda pensou ter bloqueado. (Camada diferente do SSRF de roteamento — veja Fase 3.)
• Envenenamento de OAuth/OIDC — Host direciona redirect_uri ou o issuer OIDC / documento de descoberta → roubo de código de autorização ou token → ATO.

Sinais de Superfície de Ataque

Any password reset / forgot-password / email-verification / invite endpoint
Any app behind CDN/reverse proxy (Cloudflare, Varnish, Fastly, Akamai, Nginx, HAProxy)
OAuth/OIDC authorization + /.well-known/openid-configuration endpoints
Absolute URLs constructed from request Host (set-password links, share links, webhooks)
Email-sending endpoints (transactional mail, notifications)
Reverse proxies that may route by Host (k8s ingress, service mesh, internal forward proxies)

Candidatos a cabeçalho perigosos (entradas não-chave / confiáveis):

Host                 X-Forwarded-Host      X-Host
X-Forwarded-Server   X-HTTP-Host-Override  Forwarded
X-Original-URL       X-Rewrite-URL         X-Override-URL   (path-override class)

Metodologia de Caça Passo a Passo

Sempre teste contra sua própria conta de teste registrada. Nunca solicite a redefinição de outro usuário.

Fase 1 — Envenenamento de Redefinição de Senha

# 1a. Substituir Host diretamente

…