程序员服装安全：分享与学员学习系列-CRLF 注入

同样的博客或文章中，读者可以到标记点符号的帮助。举个例子，句点告诉读者句子在哪个里结尾，而要把清单中的文章分开，要插上硬停顿以帮助助区想法。对一个人写得好博客（比如这个博客），标点符号几乎是看不见的，只是我们多年前学会处理的标准背景。

但是，如果黑客进入这篇文章并在错误的地方插件奇怪的点符号中，会发生什么？像这样：

至没有！正在改变变量。那个，文本。它？能。成功了！很多？更难。到？流程！那，信息！

这基本上是 CRLF 注入攻击所发生的情况。CRLF 字母代表回车符号和换行符，可单一使用或一键起动作用于记忆录一行的终止。如果攻击者可以在现实的应用程序中插入 CR 或 LF 代码，他们有时间可以对其行为进行修改。与大多数人攻击相比，其影响不太大，但对目标组织化的危险程度同样不一样。

在本集中，我们将学习：

• 攻击者如何接触发起 CRLF 注入
• 为什么 CRLF 注射很危险
• 可以修复这个漏洞的技术。

攻击者如何接触 CRLF 加入？

在现实中有代码中注入 CRLF 并尝试试生成特定的结果相机非常困难，尽管并不可能。之所以以变更更困难的难度，是因为攻击者需要根据目录标记系统的操作系统和其他因素使用不同的 CRLF 组合而成。例如，现代Windows计算机需要同时使用CR和LF来结束一行，而在Linux上，只需要LF代码即可。HTTP 请求总是需要精确的 CRLF 代码来结束一行。

但是，除了 CRLF 攻击难度以实施外，再加上更难预测其结论，它们的发起方式与其他注入式攻击大致相似。意思用户只是将数据输入到网站或应用程序上允许数据的任何区域域，只有他们输入 CRLF 代码，而不是正常输入数据，或者在输入数据之后的恶意输入。

例如，攻击者可以在 HTTPS 标记头的末尾输入代表回车符 (%0d) 的 ASCII 代码，然后输入 ASCII 作为换行符 (%0a)。然后整个查询将如下所示：

https://validsite.com/index.php?page=home%0d%0a

如果未对数据进行清理或过去，则上面的代码可能允许目标应用程序或网站上发生一些奇怪的事件。

为什么 CRLF 注射有危险？

尽管 CRLF 注入攻击不是像大多数攻击数目一样精确，但至少在某些时候它们可能存在相似的危险。在低端版本中，多加一行可能会乱七八糟的日志文件，这可能会接触自动网络安全防御，提醒管理人员注意非问题。但是，这可能会被使用将资源从同时发生的实际情况中转到移出去。

但是 CRLF 攻击也可能直接接种成伤害。例如，如果应用程序被设计为接纳受命令然后搜索特定文件，则在查询中添加 CRLF 代码可以接触该应用程序在屏幕上显示该进度，而不会是其隐身藏身，这可能为攻击者提供有价值的信息。

CRLF 注入还可用于创建自己的响应分支攻击，在这样的攻击中，行尾代码将有效的响应分解成多个部分。这可以让黑客控制CRLF代码之后的头部，该标头可用于注册其他代码。它还可以来创建一个开口，攻击者可以在其中完全注入自己的代码，并可能在攻击中被破坏的部分之后的攻击破坏者的一行中发起另一种形式的攻击。

消除 CRLF 注入漏洞

如果要从本系列列中得出一个关键信息，那就是永远不相信，用户的输入。我们列中介绍的大多数漏洞都以某种方式和用户输入区域区域，CRLF 注入漏洞也不例外。

在用户可以输入任何时候，都必须使用应用过滤器，比如防止未经注册的代码，这些代码可能会被应用程序或服务器理解。对于 CRLF 攻击，锁定 HTTP 标题尤其重要，但你也不可能忘记 GET 和 POST 参数，直至 Cookie。专门阻止 CRLF 代码帮助 CRLF 代码助手发起进入的一种好方法是将 HTML 编程代码应用于发回用户浏览器的任何内容和所有内容。

有关 CRLF 注射的更多信息

要进一步阅读，你可以看看 OWASP 是怎么说的 CRLF 注射。你还可以使用以下方法来测试你新获得的防御知识 免费演示提示 Secure Code Warrior 啊，该平台培训网络安全团队成了终极网络战士。要了解有关此漏洞和其他恶棍威的更多信息，请访问 安全代码勇士博客。