多字節(jié)編碼帶來的安全問題 PHP多字符集編碼漏洞

日本好好热aⅴ|国产99视频精品免费观看|日本成人aV在线|久热香蕉国产在线

<cite id="ikgdy"><table id="ikgdy"></table></cite>

作者：佚名點擊：76次評論：0次標(biāo)簽： PHP

AppServ(集成了PHP 6.0 MYSQL 6.0等)v2.6.0 英文安裝版

類型：服務(wù)器區(qū)大�。�21M語言：中文評分：7.5
標(biāo)簽：

立即下載

<?
$a = '前程似錦';
$b = ';phpinfo();//';
?>

于是找ryat牛討論了一下這個問題的本質(zhì)[雖然最后跑開這個問題很遠(yuǎn)]，其實08年時候多字節(jié)編碼帶來的安全問題在全世界都很流行，包括blackhat等會議上都有相關(guān)議題出現(xiàn)，而這些都是站在“編碼”的這個角度去看待的，而沒有具體在應(yīng)用程序的角度看待這個問題，比如上面的php的處理問題。

其實上面這個代碼的本質(zhì)是php處理方式是按‘單字節(jié)’的方式。

那么就不難理解了：錦 ---> E55C 因為php單字節(jié)的處理方式最后是 E5 5C 兩個獨立的字節(jié)來處理,而5C-->\相當(dāng)于：

<?
$a = '前程似*\';
$b = ';phpinfo();//';
?>

\轉(zhuǎn)義了后面的‘，最終導(dǎo)致phpinfo();的執(zhí)行。

由此我們可以看出，單字節(jié)處理的程序在處理多字節(jié)編碼的時候，很有可能因為“標(biāo)準(zhǔn)不和諧統(tǒng)一”，導(dǎo)致安全問題。

在我和ryat離題的討論里，他堅持說是文件的編碼問題，而我認(rèn)為是php單字節(jié)的處理方式才是問題的關(guān)鍵所在..... 其實這是我們倆看問題的角度的問題導(dǎo)致的....

對于一個廣義的命題應(yīng)該說：程序員在處理問題的標(biāo)準(zhǔn)不統(tǒng)一可能導(dǎo)致的安全問題。