java - 如何修复 HTTP 响应 header 注入(inject)/HTTP 响应拆分

Question

我有一个 J2EE Web 应用程序，使用 Burp Scanner Suite 进行的扫描报告了以下 HTTP 响应 header 注入(inject)漏洞。
问题是，当在请求 header /参数中注入(inject) CRLF 字符时，我们只是从请求中删除这些字符，以避免响应拆分问题，但 Burp Scanner Suite 仍然将其报告为严重问题。

所以我的问题是，“仅仅从请求中删除 CRLF 字符以避免 HTTP 响应拆分问题并允许请求继续进行还不够吗？或者当在请求中发现此类字符时我们应该抛出异常吗？怎么可能？如果 CRLF 字符已被删除会造成伤害。有人可以用示例解释一下吗？[Burp Scanner 报告的问题的屏幕截图]:

Answer 1

从用户输入中过滤 CRLF 字符足以纠正这一发现。从您的屏幕截图可以看出，此发现无效，因为它不会导致响应 header 中出现任何换行符。

如果它容易受到攻击，您应该会看到类似这样的内容:

HTTP/1.1 302 Moved Temporarily
Date: Tue, 21 Mar ....
...
...
Location: https://MachineName1.Domain1/base/home?1bqfh
ob2ym=1
...

The ob2ym=1 should appear as newline in the response header because of the %0d character.

供您引用，有关安全相关问题，您可以在 security.stackexchange.com 中提问。我打赌您在这里发帖会得到更多回复。

希望这可以帮助你。