str_replace() tehlikeli midir?

Question

Bazı çok baytlı karakter kümeleri verildiğinde, aşağıdakilerin yapmak istediği şeyi yapmadığını varsayarak düzeltebilir miyim? Özellikle

$string = str_replace('"', '\\"', $string); 

, giriş 0xbf5c gibi geçerli bir karaktere sahip olabilecek bir karakter kümesinde, bu yüzden bir saldırganın bir tırnaksız çift tırnak ardından geçerli bir karakter bırakarak 0xbf5c22 almak için 0xbf22 enjekte eğer (") .

bu sorunu hafifletmek için kolay bir yol var mı, yoksa (benim durumumda, dize bir HTML girdi etiketinin değeri özniteliği girecek

ilk etapta sorunu yanlış anlama am:? yankı 'giriş türü = "metin" değeri = "'. $ dize. '">';)

DÜZENLEME: Bu konuda, preg_quote() gibi bir işlevden ne haber? Bunun için bir karakter argümanı yok, bu yüzden bu senaryoda tamamen işe yaramaz gibi görünüyor. UTF-8 karakter kümesini sınırlandırma seçeneğiniz olmadığında (evet, bu güzel olurdu), gerçekten engelli gibi görünüyorsunuz. Bu durumda ne değiştirme ve alıntılama işlevleri mevcut?

Answer 1

Hayır, haklısın: beklenmeyen bir sonuç neden olabilir baytlı dizgeye bir Tek baytlık dize işlevini kullanma. Parametrelerin kombinasyonu ile ilgili olarak, bu

function mb_replace($search, $replace, $subject, &$count=0) { 
    if (!is_array($search) && is_array($replace)) { 
     return false; 
    } 
    if (is_array($subject)) { 
     // call mb_replace for each single string in $subject 
     foreach ($subject as &$string) { 
      $string = &mb_replace($search, $replace, $string, $c); 
      $count += $c; 
     } 
    } elseif (is_array($search)) { 
     if (!is_array($replace)) { 
      foreach ($search as &$string) { 
       $subject = mb_replace($string, $replace, $subject, $c); 
       $count += $c; 
      } 
     } else { 
      $n = max(count($search), count($replace)); 
      while ($n--) { 
       $subject = mb_replace(current($search), current($replace), $subject, $c); 
       $count += $c; 
       next($search); 
       next($replace); 
      } 
     } 
    } else { 
     $parts = mb_split(preg_quote($search), $subject); 
     $count = count($parts)-1; 
     $subject = implode($replace, $parts); 
    } 
    return $subject; 
} 

: Örneğin mb_ereg_replace veya mb_split için yerine multibyte string functions kullanın:

$string = mb_ereg_replace('"', '\\"', $string); 
$string = implode('\\"', mb_split('"', $string)); 

---

Düzenleme İşte kullanılarak mb_replace uygulama var varyantı bölünmüş katılmak işlev, str_replace tek bayt gibi davranmalıdır.

Answer 2

Önce mb_regex_encoding() ile charset belirterek ya mb_ereg_replace kullanabilirsiniz. Alternatif olarak, UTF-8'i kullanırsanız, u değiştiricisiyle preg_replace'u kullanabilirsiniz. Anladığım kadarıyla, dize enjeksiyonun bu türden çok fazla mysql_real_escape_string çözülür Dan

Answer 3

(); işlevi.

http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 4

kod Aksine bütün geçmekte daha vb Shift_JIS, GB *, gibi kırık olanlarla mükemmel UTF-8 ve EUC-TW gibi aklı başında baytlı-kodlamaları ile güvenli ama tehlikelidir Bu eski kodlamalar ile güvende olmak için baş ağrısı ve ek yükü, sadece UTF-8'i desteklemenizi tavsiye ederim.