客戶服務(wù)熱線：
13405132033
地址：
江蘇省昆山市創(chuàng)業(yè)路800號(hào)中創(chuàng)商業(yè)中心1號(hào)樓20層
描述：
HTTP響應(yīng)拆分漏洞，也叫CRLF注入攻擊。CR、LF分別對應(yīng)回車、換行字符。
HTTP頭由很多被CRLF組合分離的行構(gòu)成，每行的結(jié)構(gòu)都是“鍵：值”。如果用戶輸入的值部分注入了CRLF字符，它有可能改變的HTTP報(bào)頭結(jié)構(gòu)。
危害：
攻擊者可能注入自定義HTTP頭。例如，攻擊者可以注入會(huì)話cookie或HTML代碼。這可能會(huì)進(jìn)行類似的XSS（跨站點(diǎn)腳本）或會(huì)話固定漏洞。
解決方法：
限制用戶輸入的CR和LF，或者對CR和LF字符正確編碼后再輸出，以防止注入自定義HTTP頭。
微信掃一掃
