如何修复HTTP响应标头注入/ HTTP响应拆分

Question

我有一个J2EE Web应用程序，使用Burp Scanner Suite进行的扫描将其报告为HTTP响应标头注入漏洞。
问题是当在请求标头/参数中插入CRLF字符时，我们只是从请求中删除了这些字符，以避免出现“响应拆分”问题，但是Burp Scanner Suite仍然将其报告为高问题。

因此，我的问题是：“仅从请求中删除CRLF字符是否足以避免HTTP共振拆分问题并允许请求继续执行？还是在请求中找到此类字符时我们是否应该引发异常？如果CRLF会如何造成危害？字符已被删除。有人可以举一个例子来解释吗？[Burp Scanner报告的问题的屏幕截图]：

Answer 1

从用户输入中过滤CRLF字符足以纠正这一发现。 从您的屏幕快照中，它可以表明此发现无效，因为它不会在响应标题中引起任何换行符。

如果它很容易受到攻击，您可能会看到类似以下的内容：

HTTP/1.1 302 Moved Temporarily
Date: Tue, 21 Mar ....
...
...
Location: https://MachineName1.Domain1/base/home?1bqfh
ob2ym=1
...

由于％0d字符， ob2ym = 1应该在响应标头中显示为换行符。

对于您的信息，对于与安全性有关的问题，您可以在security.stackexchange.com中提出 。 我敢打赌，您将在这里发表更多的反馈。

希望对您有所帮助。