J'essaie de gérer cet exploit possible et je me demande quelle est la meilleure façon de le faire? devrais-je utiliser le validateur commun d'apache et créer une liste de symboles autorisés connus et l'utiliser?Décomposition de la réponse HTTP
De l'wikipedia article:
La solution générique est de chaînes encode avant de les inclure dans les en-têtes HTTP tels que l'emplacement ou Set-Cookie.
Des exemples typiques de désinfection comprennent la coulée en nombre entier, ou le remplacement d'expression régulière agressif. Il est à noter que bien que ce ne soit pas un problème spécifique à PHP, l'interpréteur PHP contient une protection contre cette attaque depuis la version 4.4.2 et 5.1.2.
Modifier
im liée à l'utilisation des années jsp avec des actions java!
Il ne semble pas y avoir de protections à base de JSP pour ce vecteur d'attaque - de nombreuses descriptions sur le supposer web asp ou php, mais this link décrit une manière assez plate-forme neutre pour aborder le problème (jsp utilisé comme un exemple accidentel en elle). Fondamentalement, votre première étape consiste à identifier les caractères potentiellement dangereux (CR, LF, etc), puis à les supprimer. J'ai peur de cette solution aussi robuste que vous pouvez l'espérer!
Solution
entrée Valider. Supprimez les CR et les LF (et tous les autres caractères dangereux) avant d'incorporer des données dans les en-têtes de réponse HTTP, en particulier lors de la configuration des cookies et de la redirection. Il est possible d'utiliser des produits tiers pour se défendre contre l'injection CR/LF et de tester l'existence de tels trous de sécurité avant le déploiement de l'application.
Selon Wikipedia et le PHP CHANGELOG, PHP a été protégé contre PHP4 depuis 4.4.2 et PHP5 depuis 5.1.2.
Seulement l'a écrémé - mais, this might help. Ses exemples sont écrits en JSP.
ok, bien coulée à un int est pas très utile lors de la lecture des chaînes, en utilisant également regex dans toutes les actions qui reçoit l'entrée du navigateur pourrait être salissant, im la recherche d'une solution plus robuste
>> Retirer CRs et lignocellulosiques (et tous les autres caractères dangereux) << existe-t-il un utilitaire/une bibliothèque OWASP pour cela? – yathirigan