nicht angemeldet
echo $begrüßung;
Deswegen eben meine Frage, da ich mir nicht vorstellen kann, eine Request irgendwohin zu senden, und gleichzeitig Schadcode in irgendeiner Form im HTTP_HOST unterzubringen - ganz egal welcher VHost nun den Request bekommt.
Das "irgendwohin" ist doch schon erledigt. Es wurde vom Client aus eine TCP/IP-Verbindung zu einem Apachen aufgebaut. Dazu braucht es zunächst keinen Host- oder DNS-Namen, die Verbindung wird und muss sowieso von IP-Adresse A zu IP-Adresse B aufgebaut werden. Die Verbindung steht also und nun schickt man einfach Text. Ein GET / HTTP/1.1 gefolgt von Host: mit beliebigem nachfolgenden Text. Und dieser landet im Default-VHost, wenn der Apache keine Prüfung auf plausible Zeichen in der Host-Header-Zeichenkette durchführt.
echo "$verabschiedung $name";