آیا شخصیت های رمزگذاری کننده حملات مخلوط کردن که هنوز تهدیدی در سال 2020 هستند وجود دارد؟ از جمله واضح ترین تزریق XSS یا SQL.
برخی از مثال ها:
-
فریب مرورگر برای نمایش صفحه در UTF-7 با وجود فیلتر XSS ، در UTF-8 انجام شد.
+ ADw-script + AD4-به عنوان UTF-8 باhtmlspecialchars ()در PHP پردازش می شود بسیار خوب است اما اگر مرورگر به عنوان UTF-7 عمل کند ، آن را به عنوان- یا به جای UTF-7 تفسیر می کند. ، در مورد سایر رمزگذاری های خاص محلی یا زبان که سازگار با UTF-8 نیستند که بتوانند برای ایجاد کاراکترهای ویژه مانند
<یا] [سازگار باشند؟ -
مرورگرهای مدرن به طور پیش فرض رمزگذاری UTF-8 اگر توسط سرور مشخص نشده باشد ، اما ممکن است اگر بتواند مارک سفارش بایت UTF-7 را
+ / v8تزریق کند ، ممکن است به طور پیش فرض نادیده گرفته شود. htmlspecialchars () جایی در ابتدای سند؟ هرگونه علائم سفارش بایت یا توالی UTF-8 ویژه که معنای خاصی دارند در می توان استفاده کرد؟ -
همچنین ببینید: http://michaelthelin.se/securance/2014/06/08/web-security-cross-site-scripting-attacks-using-utf-7.html
-
ساختن دنباله های غیرقانونی UTF-8 در درخواست های سرورهایی که نمی توانند با ایمن به آنها رسیدگی کنند ، احتمالاً باعث می شود که سرور فرار کند یا شخصیت های ویژه HTML غیرشخصی مانند
<یاایجاد کند. ” -
پارامترهای رمزگذاری دو برابر به امید اینکه سرور فقط 1 دور از کاراکترهای خاص را انجام دهد
-
ارائه URL به صورت یککد با کاراکترهایی که شبیه حروف ASCII معمولی هستند ، اما با کلیک بر روی آن به یک صفحه دیگر می رود ، به طور بالقوه مخرب:
-
قرار دادن یک URL رمزگذاری شده با بایت NULL
٪ 00در یک پارامتر برای درخواست HTTP که ممکن است باعث شود فیلتری که به زبانی مانند C نوشته شده باشد ، آن را به عنوان پایان رشته ، تفسیر بالقوه زودهنگام فیلتر
آیا کسی می تواند به حملات رمزگذاری دیگری که من اشاره نکردم ، فکر کند؟ و آیا هر روز این تهدیدات واقعی است یا بیشتر آنها مربوط به گذشته است؟