|
HTTP头注入/响应拆分攻击——伪造缓存投毒 摘要：HTTP响应拆分（HTTP Response Splitting）和头注入攻击通过注入回车换行符（CRLF，\r\n），使Web服务器输出两个HTTP响应，攻击者可控制第二个响应的内容，实现XSS、缓存投毒甚至网站劫持。尽管现代Web框架已部分缓解，但某些错误的头拼接方式仍可导致CRLF注入。本文阐释CRLF注入原理，演示利用方式，并给出验证输入、使用安全头函数等防御方案。 关键词：黑客网站攻击；CRLF注入；HTTP响应拆分；渗透测试；缓存投毒；头注入防御
一、引言HTTP协议使用CRLF（\r\n）分隔头部和主体，两个连续CRLF标记头部结束。当应用将用户输入动态添加到响应头（如Location、Set-Cookie、重定向URL）而未做过滤时，攻击者可注入\r\n来添加任意头部甚至第二个响应。这种攻击可导致会话固定、XSS、中间人攻击。 二、攻击原理2.1 注入点典型场景：重定向URL参数 [size=12.573px]php
header("Location: " . $_GET['redirect_to');
攻击者提供redirect_to=/home%0d%0aContent-Length:%200%0d%0a%0d%0aHTTP/1.1%20200%20OK%0d%0aContent-Type:%20text/html%0d%0a%0d%0a<script>alert(1)</script>，导致服务器输出两个响应，浏览器解析第二个恶意响应。 2.2 缓存投毒如果中间缓存服务器（如CDN）存储了被污染的响应，则后续用户访问时将获得恶意内容，形成大规模攻击。 三、防御措施四、总结CRLF注入是常见但易被忽视的漏洞，防御核心在于：用户输入绝不能直接拼接进HTTP头，使用框架提供的安全方法或进行严格的字符过滤。 下一篇预告：不安全的反序列化攻击——深入对象注入。
（本文仅供网络安全教育与防御研究使用，严禁用于任何非法活动。） 第十篇：不安全的反序列化攻击——深入对象注入摘要：不安全的反序列化（Insecure Deserialization）漏洞允许攻击者将恶意序列化数据提交给应用程序，触发任意代码执行、权限提升或拒绝服务。Java、PHP、Python、Ruby等语言均面临此威胁。本文详述反序列化的攻击面，展示利用已知gadget链（如Apache Commons Collections、PHP的__wakeup）构造payload的方法，并提出签名、类型白名单等防御策略。 关键词：黑客网站攻击；反序列化漏洞；对象注入；渗透测试；gadget链；RCE；防御措施
一、引言反序列化漏洞常被称为“隐形杀手”，因为其危害巨大但往往在代码审计中才被发现。2017年Equifax数据泄露事件中，攻击者利用Apache Struts2框架的反序列化漏洞（CVE-2017-5638）窃取了1.47亿用户数据。学习反序列化防御对现代Web应用至关重要。 二、漏洞原理2.1 序列化与反序列化序列化将内存对象转换为字节流（存储或传输），反序列化则反向恢复对象。如果攻击者能控制反序列化的数据，就可以控制恢复出来的对象属性及行为。 2.2 POP链（面向属性编程）某些类在反序列化过程中会执行特定魔术方法（如__wakeup、__destruct、readObject），攻击者通过链式调用这些方法最终执行危险操作。 三、渗透测试视角识别序列化数据特征：Java的ac ed 00 05（Base64: rO0AB）、PHP的O:8:"stdClass":。 使用ysoserial（Java）、PHPGGC、pyty等工具生成特定gadget链payload。 提交payload并观察是否触发DNSlog或命令执行。
四、防御措施不要反序列化不可信数据：对所有用户输入类数据使用JSON/XML等安全格式。 签名与加密：如用于Cookie/Token，使用HMAC或加密确保完整性。 类型白名单：Java可通过ObjectInputFilter限制允许反序列化的类；PHP需禁用unserialize回调或使用allowed_classes。 升级依赖库：及时修复已知gadget链的库版本。
五、总结反序列化漏洞难以被传统扫描器发现，需结合代码审计与运行时保护。最简单的安全实践是：避免使用原生序列化。
| 
发表于 
收藏
