Add files via upload

Chapter6/6-7.md

@@ -0,0 +1,49 @@
+### Nginx CRLF 注入原理
+
+**什么是 CRLF？**
+
+CRLF 是 **`Carriage Return Line Feed`** 的缩写，中文意思是**回车换行**
+
+- `CR` (回车) 对应的十六进制是 `0x0D`，URL 编码是 `%0d`
+- `LF` (换行) 对应的十六进制是 `0x0A`，URL 编码是 `%0a`
+
+在 HTTP 协议中，CRLF 有着特殊的意义
+
+HTTP 报文（包括请求头和响应头）都是由一行行文本组成的，而每一行的结束都由 **CRLF** 来标记
+
+服务器解析 HTTP 报文时，就是通过 `CRLF` 来判断一行的结束和下一行的开始
+
+**Nginx CRLF 注入原理**
+
+Nginx CRLF 注入的根本原因是：**Nginx 将用户输入的数据直接或间接用在了 HTTP 响应头中，并且没有对数据中的特殊字符（尤其是 `%0d%0a`）进行严格过滤**
+
+当攻击者在 URL 中注入 `%0d%0a` 时，Nginx 在构建 HTTP 响应头时会把这两个特殊字符当成普通字符串处理，直接写入响应头
+
+服务器在解析这个响应时，看到 `%0d%0a` 就会将其**解析为真正的回车换行符**，从而导致：
+
+- **HTTP 响应头提前结束**：服务器认为响应头已经结束了
+- **攻击者可以注入新的响应头**：攻击者可以注入一个或多个新的响应头，例如 `Set-Cookie`、`Location` 等
+- **攻击者可以注入完整的 HTTP 响应体**：攻击者甚至可以注入一个全新的 HTTP 响应体，实现**响应拆分**（HTTP Response Splitting）攻击
+
+正常情况下，如果你访问 `http://example.com/redirect?url=/home`，服务器会返回
+
+```apl
+HTTP/1.1 302 Moved Temporarily
+Server: nginx/1.20.1
+Location: /home
+Content-Type: text/html
+...
+```
+
+但是，如果攻击者构造一个恶意的 URL：`http://example.com/redirect?url=/home%0d%0aSet-Cookie:crlf=test`
+
+```apl
+HTTP/1.1 302 Moved Temporarily
+Server: nginx/1.20.1
+Location: /home
+Set-Cookie: crlf=test
+Content-Type: text/html
+...
+```
+
+你会发现，攻击者成功地在响应中注入了一个 **`Set-Cookie`** 响应头