golang 安全问题

2023年11月20日#安全 #漏洞239

AI 生成的摘要

这段代码是关于net/http库中的CRLF漏洞。代码中没有对输入进行判断。通过使用docker pull命令下载golang:1.11.5-alpine3.7镜像。代码中的ruri变量用于获取请求的URL。如果使用代理并且URL的Scheme不为空且Opaque为空，则将Scheme、主机和ruri拼接起来。如果请求方法为CONNECT且URL的Path为空，则只返回主机。如果URL的Opaque不为空，则返回Opaque。如果ruri中包含控制字符，则返回错误信息。最后的函数用于判断字符串中是否包含ASCII控制字符。

net/http CRLF 漏洞#

没有判断：

docker pull golang:1.11.5-alpine3.7

ruri := r.URL.RequestURI()
if usingProxy && r.URL.Scheme != "" && r.URL.Opaque == "" {
	ruri = r.URL.Scheme + "://" + host + ruri
} else if r.Method == "CONNECT" && r.URL.Path == "" {
	// CONNECT requests normally give just the host and port, not a full URL.
	ruri = host
	if r.URL.Opaque != "" {
		ruri = r.URL.Opaque
	}
}
if stringContainsCTLByte(ruri) {
	return errors.New("net/http: can't write control character in Request.URL")
}

移除掉 CRLF

// stringContainsCTLByte reports whether s contains any ASCII control character.
func stringContainsCTLByte(s string) bool {
	for i := 0; i < len(s); i++ {
		b := s[i]
		if b < ' ' || b == 0x7f {
			return true
		}
	}
	return false
}