代码之家 › 专栏 › 技术社区 › Josef Pfleger

EnableHeaderChecking=true是否足以防止Http标头注入攻击?

fortify security iis asp.net

Josef Pfleger · 技术社区 · 16 年前

System.Web.Configuration.HttpRuntimeSection.EnableHeaderChecking ]( http://msdn.microsoft.com/en-us/library/system.web.configuration.httpruntimesection.enableheaderchecking(VS.85).aspx) true (默认)完全防止Http头注入攻击,如响应拆分等。?

HttpResponse.Redirect Cookie,但我还没有找到成功执行攻击的方法。 ( 编辑 :..并且我们启用了EnableHeaderCheck。.)

4 回复 | 直到 15 年前

Josef Pfleger 16 年前

我对此已经研究了一段时间,得出的结论是 EnableHeaderChecking 到 true 事实上,它足以防止http标头注入攻击。

查看“反映”的ASP。NET代码,我发现:

只有一种方法可以将自定义HTTP标头添加到HTTP响应中,即使用 HttpResponse.AppendHeader 方法
Http响应。附录标题要么
- 创建以下实例 HttpResponseHeader (内部)
- 或致电 HttpResponseHeader.MaybeEncodeHeader (为 IIS7WorkerRequests )
- 或分配其各自的属性(对于已知的标头,如 RedirectLocation 或 ContentType )
HttpResponseHeader 实例是在已知标头之前创建的,例如重定向位置或内容类型已发送( HttpResponse.GenerateResponseHeaders )
这 HttpResponseHeader 构造函数检查 EnableheaderChecking 设置和呼叫 HttpResponseHeader。MaybeEncodeHeader 当设置为 真
HttpResponseHeader。MaybeEncodeHeader 正确编码换行符,使HTTP头注入攻击不可能

以下是一个片段,大致演示了我是如何进行测试的:

// simple http response splitting attack
Response.AddHeader("foo", "bar\n" + 
    // injected http response, bad if user provided
    "HTTP/1.1 200 OK\n" + 
    "Content-Length: 19\n" +
    "Content-Type: text/html\n\n" +
    "<html>danger</html>"
);

只有当你明确地转向 EnableHeaderCheck 关

<httpRuntime enableHeaderChecking="false"/>

Fortify根本不考虑配置(设置 EnableHeaderCheck 明确没有效果),因此总是报告这些类型的问题。

dr. evil 16 年前

AFAIK已经足够了,应该默认打开。

我认为Fortify只是在考虑深度防御,就像你在部署中改变配置一样。

我假设你没有在配置中严格设置它,如果你有,也许Fortify并没有那么聪明地认为我们的。

买一份小提琴手
拦截请求
尝试注入新线
查看您刚刚注入的新行是否在HTTP响应中。

nessence 16 年前

EnableHeaderCheck仅适用于不受信任的数据。如果您将数据直接从cookie传递到Redirect,则生成的标头可能被视为可信的,\r\n值不会转义。

Douglas Held 15 年前

约瑟夫,HttpResponse。AppendHeader()并不是不受信任的数据可以输入HTTP响应头的唯一地方。

如果来自攻击者的任何数据包含回车符(或任何被解释为回车符的内容),则最终出现在Cookie或HTTP重定向中的数据都可以写入新的标头。

一般来说,验证数据比坐在那里试图找出漏洞要好得多。很有可能,黑客在这方面会比你我做得更好。

推荐文章

Aashita · ASP。在IIS上运行的NET Core应用程序出现Http错误401.2-Unauthorize

1 年前

Ali Jebali · ASP。网络核心力量使用Brotli

1 年前

Community wiki · 如果您没有CD,获取XP Pro SP2 IIS的最佳方法是什么?[已关闭]

2 年前

Pratik Wakati · IIS机器密钥中现有的加密和验证方法突然停止工作

2 年前

Ahmad · 如何配置IIS以承载应用程序而不中断相对路径?

2 年前

PsCraft · 定期重启进程的DebugDiagnosticTool规则

2 年前

Crust3 · IIS虚拟目录和内容范围标头

2 年前

Jan Drozen · 带有IIS Express的AspNet Core每次都需要Windows身份验证凭据

2 年前

Stratos Thivaios · 如何在iis上为目录浏览页面设置收藏夹?

2 年前

Zouhair Fekari · IIS URL重写缓存JSON服务器数据

3 年前