HTTP Host header attacks

[HttpPost("/api/password-reset")]public async Task<IActionResult> RequestReset([FromBody] ResetRequest req, CancellationToken ct){    var user = await _users.FindByEmailAsync(req.Email, ct);    if (user is null) return Ok();   // giống hệt cho email tồn tại/không (topic authentication)     var token = await _resets.IssueAsync(user, ct);     // ❌ Request.Host là INPUT NGƯỜI DÙNG — curl -H "Host: evil.example" đổi nó trong    //    một giây. Kẻ tấn công gửi reset với email NẠN NHÂN nhưng Host của mình, và    //    link poisoned đi vào hộp thư nạn nhân. Bấm vào = token tới evil.example =    //    account takeover không cần mật khẩu.    var link = $"https://{Request.Host}/reset?token={token}";     await _mail.SendAsync(user.Email, $"Reset your password: {link}", ct);    return Ok();}

public class HostHeaderTests : IClassFixture<ApiFixture>{    private readonly ApiFixture _fx;     public HostHeaderTests(ApiFixture fx) => _fx = fx;     /// <summary>    /// Password-reset poisoning — account takeover đầy đủ với một request. Gửi reset    /// với Host của kẻ tấn công và khẳng định link trong email trỏ tới domain THẬT.    /// </summary>    [Fact]    public async Task Reset_link_ignores_a_forged_host()    {        await _fx.SeedUserAsync("victim@acme.com");         var req = new HttpRequestMessage(HttpMethod.Post, "/api/password-reset")        {            Content = JsonContent.Create(new { email = "victim@acme.com" }),        };        req.Headers.Host = "evil.example";   // Host giả         await _fx.Client.SendAsync(req);         var link = _fx.ExtractLinkFromLastEmail();        Assert.StartsWith("https://app.example/", link);        Assert.DoesNotContain("evil.example", link);    }     /// <summary>    /// Bẫy X-Forwarded-Host: Host đúng qua được phép kiểm, nhưng nhiều framework ưu    /// tiên X-Forwarded-Host để dựng URL. Client gửi trực tiếp (không qua proxy tin    /// cậy) → phải bị bỏ qua.    /// </summary>    [Fact]    public async Task Reset_link_ignores_x_forwarded_host_from_the_client()    {        await _fx.SeedUserAsync("victim@acme.com");         var req = new HttpRequestMessage(HttpMethod.Post, "/api/password-reset")        {            Content = JsonContent.Create(new { email = "victim@acme.com" }),        };        req.Headers.Host = "app.example";                       // đúng        req.Headers.Add("X-Forwarded-Host", "evil.example");    // nhưng client gửi cái này         await _fx.Client.SendAsync(req);         Assert.DoesNotContain("evil.example", _fx.ExtractLinkFromLastEmail());    }     /// <summary>Host ngoài allowlist bị từ chối 400 ở tầng framework.</summary>    [Fact]    public async Task Unknown_host_is_rejected()    {        var req = new HttpRequestMessage(HttpMethod.Get, "/");        req.Headers.Host = "evil.example";         Assert.Equal(HttpStatusCode.BadRequest, (await _fx.Client.SendAsync(req)).StatusCode);    }     /// <summary>Host phản chiếu vào response được cache là cache poisoning — không được có.</summary>    [Fact]    public async Task Cacheable_responses_do_not_reflect_the_host()    {        var req = new HttpRequestMessage(HttpMethod.Get, "/");        req.Headers.Host = "app.example";   // hợp lệ         var res = await _fx.Client.SendAsync(req);        var body = await res.Content.ReadAsStringAsync();         // Nếu response cacheable, nó KHÔNG được chứa Host trong canonical/base/absolute URL —        // dùng URL tương đối hoặc domain cấu hình. Ở đây kiểm nó không phản chiếu Host thô.        if (res.Headers.CacheControl?.Public == true)            Assert.DoesNotContain("app.example", body);   // chỉ URL tương đối trong HTML cacheable    }}