CWE ID 113: Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting‘)

最新推荐文章于 2023-07-17 07:01:31 发布

豹仔頭Aron࿐

最新推荐文章于 2023-07-17 07:01:31 发布

阅读量907

点赞数

分类专栏： CWE 文章标签： java

本文链接：https://blog.csdn.net/Aron2278/article/details/119177417

版权

本文介绍了CWE ID 113，即HTTP响应拆分缺陷，它可能导致缓存中毒和跨站脚本攻击。为解决此问题，建议进行输入校验，如设定编码规范、过滤特殊符号，并推荐使用ESAPI库进行安全控制，通过引入依赖并设置请求头来增强HTTP头的安全性。

摘要由CSDN通过智能技术生成

问题描述

HTTP响应拆分缺陷，当调用一个存在该缺陷的请求时，很容易受到攻击，将不受信任的内容写入HTTP请求头中，导致缓存中毒和跨站点脚本攻击。

解决方案

1、输入校验

注意规范构建 HTTP 请求头，避免使用未经验证的输入数据，对构建内容进行合法校验，如：设定编码规范（UTF-8）、创建黑名单过滤特殊符号（如"\n", “\r”）、封装Url请求等等。

2、使用 ESAPI 库修复

ESAPI是一个免费、开源的Web应用程序安全控制组件，对常见安全漏洞都提供对应的安全控制实现方法。

2.1 引入 ESAPI 依赖

<!-- https://mvnrepository.com/artifact/org.owasp.esapi/esapi -->
<dependency>
    <groupId>org.owasp.esapi

关注