linux防止命令注入,命令行注入

怎样防止CRLF注入攻击的

转自

成都创新互联公司是一家专注于成都做网站、网站设计、外贸营销网站建设与策划设计,丰县网站建设哪家好?成都创新互联公司做网站,专注于网站建设十余年,网设计领域的专业建站公司;建站业务涵盖:丰县等地区。丰县做网站价格咨询:18980820575

什么是CRLF注入？

CRLF的意思就是回车(CR, ASCII 13, \r) 换行(LF, ASCII 10, \n)。

这两个ACSII字符不会在屏幕有任何输出，但在Windows中广泛使用来标识一行的结束。而在Linux/UNIX系统中只有换行符。

CR和LF组合在一起即CRLF命令，它表示键盘上的"Enter"键。

CRLF注入就是说黑客能够将CRLF命令注入到系统中。它不是系统或服务器软件的漏洞，而是网站应用开发时，有些开发者没有意识到此类攻击存在的可能而造成的。

针对这个漏洞黑客能够做什么？

就算黑客发现网站存在CRLF注入，他们仍然受到应用结构和这个缺陷的严重程度的限制。

对有些站点它将非常严重，而有些站点它只是很小的bug。

HTTP Header CRLF Injection

许多网络协议，包括HTTP也使用CRLF来表示每一行的结束。这就意味着用户可以通过CRLF注入自定义HTTP header，导致用户可以不经过应用层直接与Server对话。

HTTP header的定义就是基于这样的"Key: Value"的结构，用CRLF命令表示一行的结尾。

"Location:"头用来表示重定向的URL地址，"Set-Cookie:"头用来设置cookies。

如果用户的输入经过验证，其中存在CRLF的字符就可以被用来达到欺骗的目的。

如何预防？

过滤用户输入，可能存在CRLF注入的地方过滤掉CRLF字符。

安全系数高，你指的是防范shell注入吧，如果是这个我觉得不是什么方法的问题，而是你发送命令的参数可以用正则过滤一下，有效防止shell注入。至于方法都差不多觉得，个人还是建议用ganymed-ssh2，去下一个jar包，用法很简单固定，度娘一下就有了

阿里云防火墙内置多种防护策略，可选择进行SQL注入、XSS跨站、Webshell上传、后门隔离保护、命令注入、非法HTTP协议请求、常见Web服务器漏洞攻击、核心文件非授权访问、路径穿越、扫描防护等安全防护网页链接。

文章标题：linux防止命令注入,命令行注入
分享地址：http://hbruida.cn/article/hcghcg.html