ING-DiBa

Bei der DiBa gab's eine besondere Lücke: HTTP Response Splitting. Der Angreifer konnte über die URL die komplette HTTP-Antwort manipulieren. Im Beispiel nutzt er dies, um ein Set-Cookie in den HTTP-Header einzuschleusen.