url存在攻击行为怎么办？

使用HTTP代理工具，如BurpSuite篡改HTTP报文头部中HOST字段时，加红框中变量即客户端提交的HOST值，该值可被注入恶意代码。

因为需要控制客户端的输入，故该漏洞较难利用。

使用HTTP代理工具，如BurpSuite篡改HTTP报文头部中HOST字段时，加红框中变量即客户端提交的HOST值，该值可被注入恶意代码。因为需要控制客户端的输入，故该漏洞较难利用。 修复建议： 不要使用类似JSP中request.getServerName( )方法引用客户端输入的hostname值。

拼接生成URL时引用静态变量定义的服务器域名，或者使用相对路径生成URL。 最后： 一切的用户输入（用户可控变量）都是不可信的，故减少用户可控参数、对用户输入进行校验是处理这类安全漏洞的思路。