我正试图模仿我的机器上的HTTP拆分攻击。为此，我编写了以下php代码：
<?php
header("Location: " . $_GET['page']);
?>
然后我输入以下URL：
http://localhost/webgoat/httpsplitting.php?page=index%0aContent-Length:%200%0a%0aHTTP/1.1%20200%20OK%0aContent-Type:%20text/html%0aContent-Length:%2017%0a%0a<html>Hacked</html>
但是，当我使用webscarab拦截请求时，我发现这些标头没有包含在web服务器的响应中。
此外，我在wireshark中看到LF序列（即%0a）没有转换为ASCII格式，而是用作字符串而不是换行符。
因此，我得出结论，现代网络浏览器不易受到这种攻击。我说得对吗？？
攻击不仅在浏览器级别，而且在缓存和代理服务器！因此，即使浏览器增加了保护，也可能不够。
参见论文（例如，搜索代理）：
http://www.securityfocus.com/archive/1/425593
最近的一个：
http://www.securityfocus.com/archive/1/425593