> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/web/host-header/password-reset-poisoning-via-dangling-markup.md). # ぶら下がりマークアップによるパスワードリセット・ポイズニング ぶら下がりマークアップによるパスワードリセット・ポイズニングの PortSwigger Web Security Academy ラボ向けノート。攻撃フロー、ペイロードテスト、Burp Suite による検証、および是正策の文脈を含みます。 ### ぶら下がったマークアップによるパスワードリセット汚染 **ラボの説明** このラボは〜に対して脆弱です **ぶら下がったマークアップによるパスワードリセット汚染**. / リセットメール内の誤った HTML 処理を利用すると、ユーザーに送信されたリンクを別の場所へ誘導し、その新しいパスワードを取得できます。 **目的：** ～にログインする **carlos のアカウント**. **提供された認証情報：** * ユーザー： `wiener` * パスワード: `peter`
すべてのメールは、稼働中のサーバーのメールクライアントから閲覧できます\*\*。
**初期観察** パスワードリセット機能があります。 / リクエスト後、次の内容の HTML メールが送信されます： {% code overflow="wrap" %} ```http

こんにちは！

新しいパスワード: AGSoZyzfot でログインするには、こちらをクリックしてください

ありがとうございます。
サポートチーム

このメールは MacCarthy Email Security サービスによってスキャンされました ``` {% endcode %} 接続リンクは、次のものから動的に構築されます **Host** クエリのヘッダー。 **行動分析** Host ヘッダーを変更して任意のポートを含めると： ```http Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234 ``` ポートは受信したメールに正しく反映されます。 / これは、次の値が **Host** 厳密な検証なしでメールの HTML に埋め込まれていることを示しています。
**ぶら下がったマークアップを利用した攻撃** その後、アポストロフィを含む Host 値を注入し、HTML 属性を壊します： ```http Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234'HELLOO ``` その内容はメールクライアントによって解釈されるため、利用可能な HTML インジェクションが存在することを示しています。
**最終ペイロード** この挙動は、次のものを開くことで悪用されます `` タグを適切に閉じずに開いたままにし、メール本文の残り（パスワードを含む）が URL の一部として解釈されるようにします： ```http Host: 0a2e00ee040867fe812cd4f900e700cb.web-security-academy.net:1234'
**結果** メールが生成され、次の宛先に送信されると **carlos**、メールクライアントは注入された HTML を解釈します。 / その後、新しいパスワードは URL に含まれ、稼働中の **サーバー**. Carlos のパスワードはサーバーログから取得され、これにより彼のアカウントにログインしてラボを完了できます。
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/web/host-header/password-reset-poisoning-via-dangling-markup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.