HTTP响应分裂

Question

即时通讯试图处理这种可能的利用和想知道什么是最好的方式来做到这一点？我应该使用apache的通用验证器并创建一个已知允许的符号列表并使用它？

Answer 1

从wikipedia article：

通用的解决方案是URL编码字符串包含HTTP头，如位置或设置Cookie之前。

卫生处理的典型示例包括转换为整数或积极的正则表达式替换。值得注意的是，虽然这不是一个PHP特定的问题，但PHP解释器自4.4.2版和5.1.2版起包含针对此攻击的防护。

编辑

IM捆绑到使用JSP与Java的行动！

似乎没有成为此攻击媒介的任何基于JSP的保护 - 在网络上许多描述假定ASP或PHP，但this link描述了一个相当平台无关的方式来解决这个问题（JSP作为它是一个偶然的例子）。

基本上，您的第一步是识别潜在的危险字符（CR，LF等），然后将其删除。我担心这是一个强大的解决方案，你可以期待！

解

验证输入。在将数据嵌入任何HTTP响应标头之前删除CR和LF（以及所有其他危险字符），特别是在设置Cookie和重定向时。可以使用第三方产品来抵御CR/LF注入，并在应用程序部署之前测试是否存在此类安全漏洞。

Answer 2

Use PHP？ ;）

根据维基百科和PHP CHANGELOG的说法，PHP自从4.4.2和PHP5开始就在PHP4中对它进行了保护，从5.1.2开始。

---

只能撇去它 - 但是，this might help。他的例子是用JSP编写的。

Answer 3

OK，阅读时字符串，也使用正则表达式在每艘临危从浏览器中输入可以是凌乱的动作，即时寻找一个更强大的解决方案