网站漏洞防护HTTP请求拆分CR与LF过滤

网站漏洞防护中，HTTP请求拆分攻击（HTTP Request Smuggling）是一个常被忽视但危害极大的安全威胁，它利用CR（回车符，%0D）和LF（换行符，%0A）在HTTP协议中的特殊含义，通过构造恶意请求来绕过安全检测、劫持用户会话甚至攻击后端系统。解决这个问题的核心方法很简单：在服务器端对传入的HTTP请求头进行严格的CR和LF字符过滤与规范化处理，确保每个请求都符合标准格式，不给攻击者任何可乘之机。

HTTP请求拆分攻击的原理：为什么CR和LF如此危险？

HTTP协议依赖于CRLF（即%0D%0A）序列来分隔请求行、请求头和消息体。当服务器或代理在解析请求时，如果对CR（%0D）和LF（%0A）的处理不一致，攻击者就能插入这些字符，制造“拆分”效果。例如，一个恶意请求可能看起来像是一个请求，但经过某些中间件解析后，会被解释成两个独立的请求。攻击者可以利用这种歧义，将第二个“隐藏”的请求走私到后端，从而绕过防火墙、缓存服务器或负载均衡器的安全检查，直接攻击应用服务器。这种攻击之所以危险，是因为它往往发生在网络基础设施层，开发人员难以直接察觉。

具体攻击场景：从会话劫持到缓存投毒

在实际攻击中，HTTP请求拆分常被用于多种恶意目的。最常见的是会话劫持：攻击者通过拆分请求，将包含窃取的会话ID的请求走私到后端，冒充合法用户访问敏感数据。另一种典型场景是缓存投毒：攻击者向缓存服务器发送恶意请求，导致缓存中存储了篡改后的响应，当其他用户访问同一资源时，会接收到恶意内容（如植入的JavaScript代码）。此外，攻击者还可能利用请求拆分进行反射型DDoS攻击，或绕过IP限制、访问控制列表（ACL）等安全机制。这些场景都源于同一个漏洞：系统未能正确处理CR和LF字符。

防护方法一：严格过滤请求头中的CR和LF字符

最直接的防护手段是在服务器端对HTTP请求头进行输入验证，移除或拒绝包含非法CR（%0D）和LF（%0A）的请求。这应该在请求进入应用逻辑之前完成，最好在网络层或Web服务器配置中实现。例如，在Nginx中，可以通过修改配置来拒绝包含特定字符的请求：

server {
    location / {
        if ($http_user_agent ~* "%0A|%0D") {
            return 400;
        }
    }
}

对于自定义应用，应在代码中添加过滤逻辑。以Python Flask为例，可以在请求处理前检查头信息：

from flask import request, abort

@app.before_request
def filter_crlf():
    for header, value in request.headers.items():
        if '\r' in value or '\n' in value:
            abort(400)

注意，过滤不仅要针对原始字符，还要检查URL编码形式（%0D、%0A），因为攻击者常使用编码来绕过简单检测。

防护方法二：规范化请求并采用最新HTTP标准

单纯过滤可能不够，因为某些合法场景可能需要CRLF（如多行头字段）。因此，更健壮的方法是实施请求规范化：将请求重新格式化为标准形式，消除歧义。这包括统一处理头字段顺序、折叠多行头、以及确保每个头字段以正确的CRLF结尾。同时，建议升级到HTTP/2或HTTP/3协议，这些协议使用二进制帧而非文本格式，从根本上减少了CRLF注入的风险。如果必须使用HTTP/1.x，应配置服务器拒绝包含“Transfer-Encoding”和“Content-Length”冲突头的请求，这是请求拆分攻击的常见载体。

防护方法三：部署专用安全中间件与定期审计

对于大型网站，建议部署Web应用防火墙（WAF）或专用安全中间件，这些工具通常内置了HTTP请求拆分检测规则。例如，可以配置规则来拦截包含“双重Content-Length头”或异常换行符的请求。此外，定期进行安全审计和渗透测试至关重要：使用自动化工具（如Burp Suite、OWASP ZAP）模拟攻击，检查服务器对畸形请求的响应。审计应涵盖所有入口点，包括API接口、反向代理和CDN节点，因为攻击可能从任何环节发起。

开发与运维协同：建立全链路防护体系

防护HTTP请求拆分不是开发或运维单方面的责任，需要全链路协作。开发团队应在代码审查中加入CRLF检查，避免使用不安全的数据解析库；运维团队则需确保服务器（如Apache、Nginx）、负载均衡器（如HAProxy）和缓存系统（如Varnish）都更新到最新版本，并配置了安全参数。例如，在HAProxy中，可以设置“option http-use-htx”来启用严格解析模式。同时，监控日志中的异常请求模式（如频繁的400错误），能帮助早期发现攻击尝试。

总结：将CRLF过滤纳入持续安全实践

HTTP请求拆分攻击虽然技术性较强，但防护措施本质上是输入验证和协议一致性问题。通过严格过滤CR和LF字符、规范化请求、升级协议以及部署多层安全控制，网站可以显著降低风险。关键在于，这些措施不应是一次性的，而应融入持续集成/持续部署（CI/CD）流程：每次代码更新或服务器配置变更，都应重新测试防护有效性。在网络安全威胁日益复杂的今天，对基础协议漏洞的警惕，是保障网站稳固的第一道防线。

网站漏洞防护HTTP请求拆分CR与LF过滤

服务指南

帮助中心