Web安全—CRLF注入漏洞

CRLF注入漏洞详解：
CRLF简介:CRLF指的就是回车符（CR，ASCII-13，/r，%0d)和换行符（LF，ASCII-10，/n，%0a），操作系统就是通过这个标识进行换行的，相当于我们键盘的回车键。 HTTP协议中的CRLF：在HTTP协议报文中，CRLF随处可见，请求行与请求头通过一个CRLF（/r/n）隔开，请求头（header）和请求主题（body）之间通过两个CRLF（/r/n）隔开，如下图： CRLF注入漏洞简介：由于服务端未对用户输入的参数进行过滤，攻击者可通过构造恶意的HTTP请求在其添加多余的CRLF(/r/n)来添加恶意参数和HTML代码，从而形成CRLF注入漏洞。
CRLF注入漏洞危害：
1，Cookie会话固定 2，反射性XSS攻击（可过WAF）
漏洞利用（原理）：
Cooki会话固定： 步骤一：在URL参数中构造%0d%0aSet-Cookie:crlf=ture

Web安全—CRLF注入漏洞最先出现在Python成神之路。