阻止HTTP响应分裂攻击

Question

OWASP页面https://www.owasp.org/index.php/HTTP_Response_Splitting提到在几乎所有现代Java EE应用服务器中都已修复此问题这是什么意思？攻击如何由应用服务器处理？

Answer 1

通常，阻止HTTP响应拆分的一种方法是让Web框架确保它不允许换行符（\n）出现在头文件中，即使程序调用API以将额外头文件添加到HTTP响应。请参阅OWASP的HTTP响应分裂的材料和其他材料，以了解更多关于HTTP响应分裂攻击如何工作的信息，并了解为什么这是相关的防御措施。

Answer 2

这是一个老的攻击。由于Web服务器或中间代理中的漏洞，它受到攻击。主要原因是解析他的HTTP消息。如今，它在所有现代Web服务器中几乎都是固定的。