小议网站HTTP响应拆分漏洞
1 问题描述
昨天博客重新改用了一个插件，这个插件虽然也是wordpress官方插件，但是在安装之后网站就出现了一个高危漏洞。根据WASC Threat Classification的说明，该漏洞名称叫做“HTTP响应拆分漏洞”，也叫“CRLF注入攻击”。CR、LF分别对应回车（%0d）、换行（%0a）字符。HTTP头由很多被CRLF组合分离的行构成，每行的结构都是“键：值”。如果用户输入的值部分注入了CRLF字符，它有可能改变的HTTP报头结构。
HTTP响应拆分是一个新的应用程序的攻击技术，使网页缓存中毒，跨用户涂改，如各种新的攻击，劫持用户的敏感信息和跨站点脚本（XSS）的网页。