HTTP Header Injection: Host Poisoning e X-Forwarded-For

Sun, 15 Mar 2026 00:00:00 +0000

Ogni richiesta HTTP è composta da header che il browser invia al server: Host:, User-Agent:, Referer:, Cookie:, Accept-Language:. Il server si fida di questi header per decidere come rispondere — quale sito mostrare (Host), quale IP loggare (X-Forwarded-For), quale URL mettere nelle email (X-Forwarded-Host). Ma tutti questi header sono controllati dall’attaccante: basta un proxy come Burp Suite per modificarli arbitrariamente.

La HTTP Header Injection si verifica quando l’applicazione usa il valore di un header HTTP della request per generare contenuto, prendere decisioni di sicurezza, o costruire URL — senza validare che il valore sia legittimo. L’attacco più devastante è il Host Header Poisoning applicato al password reset: l’applicazione genera il link di reset usando il valore dell’header Host:, l’attaccante lo modifica in Host: attacker.com, e la vittima riceve un’email con un link http://attacker.com/reset?token=SECRET. Clic → token rubato → account compromesso.

HTTP Request Smuggling: Desync, Cache Poisoning e Cookie Theft

Sun, 15 Mar 2026 00:00:00 +0000

L’HTTP Request Smuggling sfrutta il disaccordo tra un reverse proxy (CDN, WAF, load balancer) e il backend su dove finisce una request HTTP e ne inizia un’altra. HTTP offre due modi per indicare la lunghezza del body: Content-Length (numero fisso di byte) e Transfer-Encoding: chunked (body diviso in chunk). Se il proxy usa Content-Length e il backend usa Transfer-Encoding (o viceversa), l’attaccante “contrabbanda” una seconda request nascosta dentro la prima.

Http Injection on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

HTTP Header Injection: Host Poisoning e X-Forwarded-For

HTTP Request Smuggling: Desync, Cache Poisoning e Cookie Theft