将CRLF注入到PHP的cURL选项中

译文声明

本文是翻译文章，文章原作者，文章来源：medium.com
原文地址：https://medium.com/@tomnomnom/crlf-injection-into-phps-curl-options-e2e0d7cfe545

译文仅供参考，具体内容表达以及含义原文为准

这是一篇关于将回车符和换行符注入调用内部 API的帖子。一年前我在GitHub上写了这篇文章的要点，但GitHub不是特别适合发布博客文章。你现在所看到的这篇文章我添加了更多细节，所以它不是是直接复制粘贴的。

我喜欢做白盒测试。我不是一个优秀的黑盒测试人员，但我花了十多年的时间阅读和写PHP代码 – 并且在此过程中犯了很多错误 – 所以我知道要注意些什么。

我浏览了一些源代码发现了一个和这个有点像的函数：

<?php
// common.php

function getTrialGroups(){
    $trialGroups = 'default';

    if (isset($_COOKIE['trialGroups'])){
        $trialGroups = $_COOKIE['trialGroups'];
    }

    return explode(",", $trialGroups);
}

我所看到的系统都有一个“Trial Groups”的概念。每个用户会话都有一个与之关联的组，在cookie中以逗号分隔的列表存储。我的想法是，当推出新功能时，可以首先为少数客户启用这些功能，以降低功能启动的风险，或者允许对特性的不同变体进行比较（这种方法称为A /B测试）。 getTrialGroups（）函数只是读取cookie值，将列表拆开并为用户返回一组 trial groups。

此功能中缺少白名单立即引起了我的注意。我查找了其余部分的代码库来找调用函数的具体位置，这样我就可以看到对其返回值是否有任何不安全的使用。

我不能和你们分享具体的代码，但我把我的发现大致的写了下来：

<?php
// server.php

// Include common functions
require __DIR__.'/common.php';

// Using the awesome httpbin.org here to just reflect
// our whole request back at us as JSON

将CRLF注入到PHP的cURL选项中

猜你喜欢