電梯是否阻止HTTP響應拆分？

當我使用S.setHeader手動向Lift中的響應添加標題時，是否需要手動檢查換行符還是由框架完成？這是防止http response splitting所必需的。電梯是否阻止HTTP響應拆分？

2011-09-22 Kim Stebel

你應該測試它。 Firefox的Tamper Data允許您修改http請求並查看響應。設置對接受get變量標題的S.setHeader的調用。在Firefox中打開篡改數據，它會記錄所有請求。訪問這樣的網址：http://localhost/?header=1%0atest:+CRFL。如果篡改數據顯示帶有新服務器元素test: CRLF的響應頭，那麼您的平臺很容易受到HTTP響應拆分的影響。

來源

2011-09-23 07:17:48 rook

謝謝，我試圖通過詢問這裏來避免這一點的工作......我想我只是懶惰。 –

@Kim Stebel以及你如何被黑客入侵。說到安全性，代碼可以工作並且非常不安全。正確的安全答案几乎從不選擇。我能做的最好的事情就是給你找到你自己的工具，在這種情況下，它的測試非常簡單。 – rook

如果你實際上並沒有在你的應用程序的任何地方使用setHeader，但是你只是好奇而沒有被黑客入侵...... –

電梯是否阻止HTTP響應拆分？

回答

相關問題