【IT168 安全】在本文中，我们将详细为读者介绍针对HTTP截断和HTTP走私攻击的安全测试技术。我们将通过实例演示如何利用HTTP协议的某些特性，或者利用Web应用程序的弱点或者不同代理对HTTP消息的解释也不相同的特点来发动这两种攻击。
一、HTTP截断/走私漏洞概述
本文遏制，我们将分析针对特定的HTTP报头的两种不同的攻击技术：HTTP截断和HTTP走私攻击。对于HTTP截断攻击而言，它是利用了缺乏输入消毒措施的漏洞，该漏洞允许入侵者向应用程序响应的头部插入CR和LF字符，从而将响应分割为两个不同的HTTP消息。该攻击的目标既不同于缓存投毒，也区别于跨站脚本攻击。对于第二种攻击方法，攻击者利用了这样的一个事实，即一些专门精心制作的HTTP消息可能会随着接收它们的代理的不同，而作不同的解析和解释。HTTP走私技术要求对处理HTTP消息的各种代理相当熟悉，否则无法发动这种攻击。
下面我们介绍这些漏洞的黑盒测试和灰盒测试技术。
