HTTP标头中CRLF序列的不正确中和

Question

我在我的项目上运行了Veracode扫描，它在HTTP响应拆分下给了我CWE ID 113问题。我试图用这些建议来解决这个问题，但没有成功。例如

try
    {
        String selNhid = req.getParameter("selNhid");
        String redirectURL = "/nhwhoods?action=membersNH&selNhid="+selNhid;
         res.sendRedirect(req.getContextPath() + redirectURL);
    }
    catch (Exception e)
    {
        e.printStackTrace();
    }

上面的代码来自其中一个文件。并报告显示行错误

res.sendRedirect(req.getContextPath() + redirectURL);

有什么建议，如何解决这个问题？

Answer 1

selNhid缺少URL编码。

String redirectURL = "/nhwhoods?action=membersNH&selNhid="
        + URLEncoder.encode(selNhid, StandardCharsets.UTF_8);

以上假设您正在使用UTF-8。现在，恶意内容将以%XX字节解除防护。

Answer 2

这可以使用ESAPI2.1.0.1库修复：

import org.owasp.esapi.ESAPI;

ESAPI.httpUtilities().setHeader(response, param, value);
ESAPI.httpUtilities().addCookie(response, cookie);

Answer 3

如错误消息所示，从redirectURL参数中删除CRLF序列怎么样？

一个简单的<代码>。replaceAll（“[\\r\\n]”，“”）应该这样做。