応答分割攻撃の緩和戦略
上の図の完了はそのような攻撃の働きを説明しているので、HTTP応答分割攻撃の基本については説明しません。以前の投稿でも、このような攻撃の動作について説明しました ASP.NET HTTP応答分割攻撃 。
私の質問ではなく混乱は、そのような攻撃はもはや不可能であり、根本的なフレームワークによって軽減されるという見解がコミュニティに存在するということです。緩和戦略とは何ですか？クライアント側かサーバー側かなどです。この点についても、認証された参照が不足していることがわかります。
応答分割に関して、脆弱なアプリケーションは、http応答ヘッダーレベルでの挿入を許可します。したがって、フィルタリングされていない入力を応答のヘッダーセクションに追加できるようにするアプリ内に攻撃ベクトルが存在する必要があります。
今日のフレームワーク（.netやJ2EE、そしておそらく他のフレームワーク）は、このような攻撃を軽減または排除するために（サーバー側コードで）使用できるAPIをプログラマーに提供しています。しかし、「賢い結果を予測することは不可能」であることは誰もが知っているとおり、開発者はそれらの保護を完全に回避して、アプリケーションをこのような攻撃に対して脆弱なままにすることができます。
したがって、厳密なはい/いいえの答えはありません。開発者の想像力次第です。