Java javax.servlet.http.HttpServletResponse sendRedirect()是否自动替换回车(%0d%0A)以防止Http报头拆分攻击？

Question

我只是试图演示一个简单的Web应用程序来模拟Http头分裂攻击，但我失败了。我意识到这个sendRedirect()函数过滤了我的回车并替换为空格(%20)。我想确认一下我是对的还是做错了。欢迎任何意见和建议。

提供您的信息

• 服务器信息: GlassFish服务器开放源码版
• Servlet版本: 3.0
• JSP版本: 2.1
• Java版本: 1.7.0_51

Answer 1

是的，GlassFish确实会过滤标题中的换行符。猫也一样。我不知道其他servlet容器(Jetty，WebSphere等)

com.sun.net.httpserver不过滤换行符，所以您可以将其用于模拟。