HTTP请求头处理差异分析与安全利用

1. HTTP请求头基础

1.1 HTTP请求头规范

• 格式：key: value键值对
• 遵循RFC 7230规范
• 允许通过行首添加空格(SP)或水平制表符(HT)实现头折叠（多行扩展）
• 现代Web技术逐渐弃用头折叠，因其可能导致解析不一致和安全风险

2. 不同语言框架的处理差异

2.1 PHP的处理方式

• 使用getallheaders()函数解析
• 保留原始请求头格式
• 不进行字段名规范化
• 键值对前后空格会被视为独立字段

示例代码：

<?php
$headers = getallheaders();
header('Content-Type: application/json');
echo json_encode($headers);
?>

输入请求头：

GET / HTTP/1.1
Host: example.com
admin: x
 true: y

解析结果：

{
  "Host": "example.com",
  "admin": "x",
  " true": "y"
}

2.2 Flask的处理方式

• 使用werkzeug库处理
• 自动规范化字段名（首字母大写）
• 忽略某些不规范空格
• 合并相邻字段

示例代码：

from flask import Flask, request, jsonify

app = Flask(__name__)

@app.route('/headers', methods=['GET'])
def headers():
    print('请求头信息:', request.headers)
    return jsonify(dict(request.headers))

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=3000)

相同输入请求头解析结果：

{
  "Host": "example.com",
  "Admin": "x true: y"
}

2.3 Express的处理方式

• 自动规范化字段名（全部小写）
• 忽略不规范输入
• 合并相邻字段

示例代码：

const express = require('express');
const app = express();

app.get('/headers', (req, res) => {
    console.log('请求头信息:', req.headers);
    res.json(req.headers);
});

app.listen({ port: 3000, host: '0.0.0.0' });

相同输入请求头解析结果：

{
  "host": "example.com",
  "admin": "x true: y"
}

3. 安全利用场景分析

3.1 混合框架环境下的漏洞

场景描述：

• 前端使用PHP进行初步过滤
• 后端使用Node.js处理业务逻辑
• 两者对请求头解析不一致

前端PHP代码：

<?php
$headers = getallheaders();
if (isset($headers['admin']) && strpos(strtolower($headers['admin']), 'true') !== false) {
    header('Content-Type: application/json');
    echo json_encode(['error' => 'Unauthorized access']);
    exit;
}
// 向后端转发请求
?>

后端Node.js代码：

if(req.headers.admin.includes('true')){
    res.send(flag);
}else{
    res.send('try hard');
}

3.2 利用方法

构造特殊请求头：

admin: x
 true: y

解析差异：

• PHP视为两个独立字段，$headers['admin']值为"x"，不包含"true"，通过检查
• Node.js合并为admin: "x true: y"，包含"true"，触发flag返回

4. 防御措施

4.1 开发建议

1. 统一前后端框架：尽可能使用相同技术栈
2. 严格验证逻辑：
   • 字段名规范化处理
   • 去除前后空格
   • 禁止多行头折叠
3. 安全过滤：
   • 检查字段名合法性
   • 限制特殊字符
4. RFC合规性：
   • 遵循RFC 7230最新规范
   • 禁用过时的头折叠特性

4.2 具体实现

PHP防御示例：

function sanitizeHeaders($headers) {
    $sanitized = [];
    foreach ($headers as $key => $value) {
        // 去除键名前后空格
        $cleanKey = trim($key);
        // 转换为小写统一处理
        $cleanKey = strtolower($cleanKey);
        // 去除值中的换行符
        $cleanValue = str_replace(["\r", "\n"], '', $value);
        $sanitized[$cleanKey] = $cleanValue;
    }
    return $sanitized;
}

Node.js防御示例：

function validateHeaders(headers) {
    const forbidden = ['\r', '\n', '\t'];
    for (const [key, value] of Object.entries(headers)) {
        // 检查键名是否包含非法字符
        if (forbidden.some(char => key.includes(char))) {
            throw new Error('Invalid header name');
        }
        // 检查键值是否包含非法字符
        if (forbidden.some(char => value.includes(char))) {
            throw new Error('Invalid header value');
        }
    }
}

5. 总结要点

1. 解析差异核心：

   • PHP保留原始格式，不规范化
   • Flask首字母大写规范化
   • Express全小写规范化

2. 主要风险：

   • 头折叠导致解析不一致
   • 空格处理差异
   • 字段名大小写处理差异
   • 多框架环境下的安全检查绕过

3. 最佳实践：

   • 前后端使用一致的头部处理逻辑
   • 实施严格的输入验证
   • 禁用历史遗留的不安全特性
   • 对关键头部字段实施双重验证

通过深入理解不同框架对HTTP请求头的处理差异，开发人员可以构建更安全的Web应用，安全研究人员也能更有效地发现和利用这类协议解析层面的安全问题。