http响应拆分攻击利用特定字符来注入额外的http头，从而操纵服务器的响应。这些字符的核心在于它们能够被解释为http头和http体之间的分隔符，即crlf（回车换行符），用ascii码表示为\r\n（十六进制0x0d0a）。
攻击者正是利用了HTTP协议对CRLF的解析机制。 我曾经参与过一个安全审计项目，一个网站的搜索功能就受到了这种攻击。攻击者在搜索框中输入精心构造的字符串，其中包含了CRLF字符。服务器在处理这个搜索请求时，错误地将CRLF解释为HTTP头的结束标志，导致攻击者注入的恶意头被服务器接收并执行。这最终使得攻击者能够设置Cookie，或者重定向用户到恶意网站。
需要注意的是，并非所有包含CRLF的输入都会导致攻击成功。服务器端的代码质量至关重要。一个健壮的系统会对用户输入进行严格的验证和过滤，特别是对CRLF字符的处理。 例如，一个好的做法是将用户输入中的CRLF字符进行编码或转义，使其不会被解释为HTTP头分隔符。我曾见过一些系统采用URL编码的方式，将CRLF编码为%0d%0a，有效地防止了此类攻击。
除了CRLF，攻击者有时还会尝试使用其他字符组合，例如%0a (LF，换行符) 或 %0d (CR，回车符)，试图绕过一些简单的过滤机制。 但这些字符单独使用通常效果不佳，因为HTTP协议对CRLF的识别更为严格。 我记得在一次培训中，一位学员尝试只使用LF来进行攻击，结果失败了，这强调了CRLF在攻击中的关键作用。
因此，防御HTTP响应拆分攻击的关键在于严格的输入验证和输出编码。 开发人员需要理解HTTP协议的工作原理，并采取积极措施来防止恶意输入的注入。 这不仅包括对CRLF的过滤，还应该包括对其他潜在的攻击字符的检查，例如那些可能用于跨站脚本攻击（XSS）的字符。 只有这样，才能有效地保障Web应用的安全。
