阻止HTTP響應分裂攻擊

Question

OWASP頁面https://www.owasp.org/index.php/HTTP_Response_Splitting提到在幾乎所有現代Java EE應用服務器中都已修復此問題這是什麼意思？攻擊如何由應用服務器處理？

Answer 1

通常，阻止HTTP響應拆分的一種方法是讓Web框架確保它不允許換行符（\n）出現在頭文件中，即使程序調用API以將額外頭文件添加到HTTP響應。請參閱OWASP的HTTP響應分裂的材料和其他材料，以瞭解更多關於HTTP響應分裂攻擊如何工作的信息，並瞭解爲什麼這是相關的防禦措施。

Answer 2

這是一個老的攻擊。由於Web服務器或中間代理中的漏洞，它受到攻擊。主要原因是解析他的HTTP消息。如今，它在所有現代Web服務器中幾乎都是固定的。