# testing-for-host-header-injection

Проверяет веб-приложение на инъекции HTTP-заголовка Host и связанные риски сброса пароля, отравления кэша, SSRF и маршрутизации виртуальных хостов.

- скилл · `type=skill` · Claude Code, Codex, Cursor, GitHub Copilot, Gemini CLI, OpenCode · 306 установок · ★ 35034
- Автор: mahipal
- Лицензия: Apache-2.0 · policy=mirror · начало файла — в конце страницы
- Исходник: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/testing-for-host-header-injection/SKILL.md
- Обновлён: 2026-08-31
- HTML: https://affpapa.org/nevibecode/skills/testing-for-host-header-injection

## Что делает

Скилл задаёт сценарии проверки значения `Host`: подмена хоста, два заголовка, добавление порта и абсолютный URL. Он также охватывает альтернативные заголовки прокси, включая `X-Forwarded-Host`, `X-Host` и `X-Original-URL`.

Проверки затрагивают ссылки восстановления пароля, кэшированные ответы, обращения бэкенда к внутренним адресам, перечисление виртуальных хостов и атаки на постоянные HTTP-соединения. Для запросов используются `curl` и Burp Suite; в сценариях внешнего обнаружения нужен контролируемый домен и Burp Collaborator или `interact.sh`.

Проверяйте только системы, которыми владеете или на аудит которых получили разрешение. Это обязательное условие, потому что скилл описывает проверку уязвимостей веб-приложений.

## Установка

### Claude Code (родная платформа)

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-host-header-injection -a claude-code
```

2. **Вручную: положить файлы**
- Файл: `~/.claude/skills/testing-for-host-header-injection/SKILL.md` — Папка скилла целиком; для одного проекта — .claude/skills/testing-for-host-header-injection/

### Codex

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-host-header-injection -a codex
```

2. **Вручную: положить файлы**
- Файл: `.agents/skills/testing-for-host-header-injection/SKILL.md` — Для всех проектов — ~/.agents/skills/

### Cursor

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-host-header-injection -a cursor
```

2. **Вручную: положить файлы**
- Файл: `.cursor/skills/testing-for-host-header-injection/SKILL.md` — Cursor читает и .agents/skills/, и .claude/skills/

### GitHub Copilot

1. **GitHub CLI**
```bash
gh skill install mukul975/Anthropic-Cybersecurity-Skills testing-for-host-header-injection
```

2. **Вручную: положить файлы**
- Файл: `.github/skills/testing-for-host-header-injection/SKILL.md`

### Gemini CLI

1. **Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-host-header-injection -a gemini-cli
```

2. **Командой платформы**
```bash
gemini skills install https://github.com/mukul975/Anthropic-Cybersecurity-Skills --path skills/testing-for-host-header-injection
```

### Windsurf (Devin Desktop)

**Вручную: положить файлы**
- Файл: `.devin/skills/testing-for-host-header-injection/SKILL.md` — Старый путь .windsurf/skills/ тоже читается

### OpenCode

**Через Skills CLI (Vercel)**
```bash
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill testing-for-host-header-injection -a opencode
```

### Claude.ai

**Claude.ai**
- Упакуйте папку в zip и загрузите в Settings → Capabilities → Skills

Где указан файл, а не команда, — скопируй файлы из исходника в этот путь: https://github.com/mukul975/Anthropic-Cybersecurity-Skills/tree/HEAD/skills/testing-for-host-header-injection/SKILL.md

## Когда брать
- проверить ссылки сброса пароля на подмену хоста
- выявить отравление кэша через `Host`
- исследовать SSRF через заголовки хоста
- сравнить ответы виртуальных хостов
- проверить обработку `X-Forwarded-Host` прокси

## Примеры запросов агенту
- Проверь моё приложение на инъекцию заголовка `Host` через `curl` и Burp Suite.
- Протестируй поток восстановления пароля на подмену ссылки через `X-Forwarded-Host`.
- Проверь кэшированные страницы и маршрутизацию виртуальных хостов при изменении `Host`.

## Похожие
- [http-host-header-attacks](https://affpapa.org/nevibecode/skills/http-host-header-attacks.md) — скилл · 3600 установок
- [crlf-injection](https://affpapa.org/nevibecode/skills/crlf-injection.md) — скилл · 3600 установок
- [huawei-cloud-obs-website-host](https://affpapa.org/nevibecode/skills/huawei-cloud-obs-website-host.md) — скилл · 16900 установок
- [ctf-web](https://affpapa.org/nevibecode/skills/ctf-web.md) — скилл · 9700 установок
- [muapi-blog-header](https://affpapa.org/nevibecode/skills/muapi-blog-header.md) — скилл · 659 установок
- [web-security-review](https://affpapa.org/nevibecode/skills/web-security-review.md) — скилл · 613 установок

Из того же набора: [mukul975/anthropic-cybersecurity-skills](https://affpapa.org/nevibecode/by/mukul975/anthropic-cybersecurity-skills.md) — 89 карточек

_Часть страницы не вошла по размеру — она есть в HTML-версии._

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md