Mi crlf injekció, példákkal illusztrálva
CRLF, vagy kocsi vissza soremelés utal, hogy milyen típusú biztonsági rések, hogy fordulhat elő, ha a felhasználó behelyezi CRLF az alkalmazást. CRLF jelentenek a sor végére a különböző internetes protokollokat, beleértve a HTML, és úgy néz ki mint egy% 0D% 0A, amely dekódolja rn. Ezek lehetnek jelölésére használjuk az átviteli vonalak és kombinációban HTTP-kérés fejlécet a válaszok vezethet különböző biztonsági rések, például a HTTP Request Csempészet és a HTTP-válaszok felosztására.

Ha beszélünk HTTP Request Csempészet, ez általában akkor történik, amikor a HTTP-kérés áthalad a szerver, amely feldolgozza azt, és elküldi egy másik szerverre, mint egy proxy vagy tűzfal. Ez a fajta kiszolgáltatottság vezethet:
Bár ezeket a biztonsági réseket léteznek, ezek nehéz felismerni. Leírom ide őket, így érthető, milyen veszélyes lehet Request Csempészet (lopás kérésre).
Ismerve HTTP response splitting, a hackerek önkényes válasz fejlécét, válasz vagy az ellenőrző szervezetnek, hogy megosszák a válasz teljesen, így a két válasz helyett, ahogy az Example # 2 osztott válasz v.shopify.com (ha szüksége van egy emlékeztető a HTTP-kérés fejlécet és válaszok, ellop a fejét „háttértudás”).
1. Twitter HTTP response splitting
Bár Twitter érvényesíti az új sor karaktert, 0x0A, nem teszi lehetővé, hogy küldjön, érvényesítés lehet megkerülni karakterek UTF-8 kódolást. Twitter generál
hátra a unicode karakterkódolást, ezáltal a szűrő haszontalan. Itt egy példa:
Ez azért fontos, mert az új sor karaktereket értelmezi szó szerver, ami egy új húr, hogy a szerver beolvassa és végrehajtja, ebben az esetben, visszatérve az új cookie-t.
CLRF-támadás nagyobb lehet veszélyes, ha a rendszer ki van téve XSS támadások (lásd Cross Site Scripting szakasz). Ebben az esetben, mivel a Twitter szűrők befejeződött, a felhasználó visszatérhet egy új választ, amely magában foglalja a XSSataku. Itt az URL: