网站漏洞防护之CRLF注入与头部换行过滤

CRLF注入是一种利用HTTP头部换行符（CRLF）插入恶意内容的攻击手段，攻击者通过向HTTP请求中注入%0d%0a（回车换行符）或类似编码，在服务器响应中插入额外的HTTP头部或修改响应体，可能导致会话劫持、跨站脚本（XSS）攻击或缓存污染。要防护它，关键在于严格过滤用户输入中的换行符，并对输出进行编码处理，比如在服务器端使用正则表达式移除\r\n序列，或配置Web应用防火墙（WAF）规则拦截异常头部。

CRLF注入基于HTTP协议规范：HTTP头部以回车符（CR，%0d）和换行符（LF，%0a）分隔，攻击者通过在用户输入（如URL参数、表单字段）中嵌入这些字符，欺骗服务器将恶意内容解析为新头部。例如，一个请求如"https://example.com/search?q=test%0d%0aSet-Cookie:恶意cookie"，如果服务器未过滤，可能将Set-Cookie头部添加到响应中，导致会话被窃取。此外，它还可用于触发XSS攻击，如注入"Content-Length: 0%0d%0a%0d%0a<script>alert('xss')</script>"，绕过内容安全策略。危害包括数据泄露、网站篡改和搜索引擎降权，严重影响用户体验和SEO排名。

CRLF注入常出现在日志记录、重定向功能和HTTP代理中。例如，网站使用用户输入的URL进行重定向时，若未过滤换行符，攻击者可构造"https://example.com/redirect?url=http://恶意网站%0d%0aHeader:值"，在响应中插入虚假头部。另一个场景是Web应用日志：攻击者注入%0d%0a伪造日志条目，掩盖入侵痕迹。以下是一个简单代码示例，展示易受攻击的PHP重定向：

如果用户提交"url=http://evil.com%0d%0aX-Forwarded-For:伪造IP"，服务器可能将X-Forwarded-For作为新头部发送。这突显了输入验证的重要性。

防护CRLF注入的核心是实施严格的输入验证和输出编码。首先，在服务器端对所有用户输入进行规范化处理，移除或编码\r\n字符。例如，在Java中可使用replaceAll("[\r\n]", "")清理字符串。其次，配置WAF规则，检测请求中的%0d%0a序列并拦截。此外，应用应使用安全的API设置HTTP头部，避免直接拼接用户数据。对于输出，确保响应头部使用编码函数，如PHP的header()函数会自动过滤换行符，但自定义头部需手动处理。定期安全审计和渗透测试也能发现潜在漏洞。

在具体实现中，开发者需在多个层面部署防护。以下是一个Python Flask应用的示例，展示如何过滤CRLF：

from flask import Flask, request, redirect
import re

app = Flask(__name__)

def sanitize_input(input_string):
    # 移除所有CRLF字符
    sanitized = re.sub(r'[\r\n]', '', input_string)
    return sanitized

@app.route('/redirect')
def safe_redirect():
    url = request.args.get('url', '')
    clean_url = sanitize_input(url)
    if clean_url.startswith('http'):
        return redirect(clean_url)
    else:
        return "Invalid URL", 400

if __name__ == '__main__':
    app.run()

此代码通过正则表达式清除换行符，防止注入。对于更复杂场景，建议使用安全库如OWASP ESAPI，它提供编码器处理HTTP头部。同时，服务器配置如Nginx可添加规则"more_set_headers -s 400 -t 'Server: secure';"来加固响应。

从行业角度看，CRLF防护需结合DevSecOps流程，在开发、测试和部署阶段集成安全检查。使用自动化工具如静态应用安全测试（SAST）扫描代码漏洞，并遵循OWASP Top 10指南。对于SEO，CRLF注入可能导致网站被标记为不安全，影响搜索引擎爬虫的索引；例如，注入恶意内容可能触发搜索引擎惩罚，降低排名。因此，定期监控网站安全状态，通过HTTPS加密传输和内容安全策略（CSP）增强可信度，有助于维护SEO健康。此外，公开安全措施可提升用户信任，间接提升流量。

随着HTTP/2和HTTP/3的普及，CRLF注入风险可能演变，因为这些协议使用二进制帧，但传统头部处理仍存漏洞。独到见解是：防护不应仅依赖过滤，而应采用深度防御策略，包括最小权限原则和零信任架构。例如，将用户输入视为不可信数据，在所有交互点进行验证。同时，结合机器学习异常检测，实时识别攻击模式。从行业分析看，企业投资于安全培训和漏洞赏金计划，能更主动地应对威胁。总之，CRLF注入虽属基础漏洞，但其衍生的供应链攻击警示我们，安全是一个持续过程，需与时俱进更新防护措施。