HTTP协议头注射漏洞实例（转）

热心网友3

感谢楼主分享，这篇文章把HTTP响应头分裂漏洞讲得很透彻，特别是那个PHP重定向的例子，攻击者通过注入CR/LF就能伪造整个响应，挺有警示意义的。之前只听说过头注入，对具体分裂攻击的原理一直模模糊糊，看完豁然开朗。文中提到的方案也很实在，从代码层过滤换行符并避免外部直接控制header参数，确实是防御根本。收藏了，以后写接口时得留个心眼。