# 编码绕过反模式 **严重性：** 高 ## 总结编码绕过通过替代编码来逃避安全检查。在解码/标准化之前进行验证时发生。编码的有效负载看起来很安全，但在处理后会变成恶意的。绕过 WAF、输入过滤器，启用 XSS 和 SQL 注入。 ## 反模式有缺陷的操作顺序：**验证然后解码/标准化**。安全检查在编码数据上运行，应用程序稍后使用解码版本，重新引入漏洞。 ### 错误代码示例 # 漏洞：验证发生在 Unicode 规范化之前。导入unicode数据 def is_safe_username(用户名): # 此检查有缺陷，因为它没有考虑 Unicode 变体。如果用户名中包含“<”或用户名中包含“>”：返回错误返回真 def create_user_profile(用户名): 如果不是 is_safe_username(用户名): raise ValueError("用户名中的字符无效。") # 应用程序稍后会标准化用户名以供显示或存储。 # 全角小于号“＜”（U+FF1C）未被检查捕获。 # 它被标准化为标准“<”(U+003C)，从而启用 XSS。 Normalized_username = unicodedata.normalize('NFKC', 用户名) # 这将呈现恶意脚本标签。 return f"

欢迎，{normalized_username}

" # 攻击者输入：'＜script＞alert(1)＜/script＞' # is_safe_username 返回 True。 # 标准化输出变为 '

Welcome,

' ### 好的代码示例 # 安全：标准化然后验证。导入unicode数据 def is_safe_username(用户名): # 此检查现在有效，因为它在输入的规范形式上运行。如果用户名中包含“<”或用户名中包含“>”：返回错误返回真 def create_user_profile(用户名): # 首先，将输入标准化为其规范形式。 Normalized_username = unicodedata.normalize('NFKC', 用户名) # 然后，对标准化后的数据进行安全验证。如果不是 is_safe_username(normalized_username): raise ValueError("用户名中的字符无效。") # 现在可以安全地使用规范化的用户名了。 return f"

欢迎，{normalized_username}

" ### JavaScript/Node.js 示例 **不好：** // 漏洞：路径遍历中 URL 解码之前的验证 const express = require('express'); const fs = require('fs'); const 路径 = require('路径'); app.get('/file/:文件名', (req, res) => { const 文件名 = req.params.文件名; // 检查路径遍历 - 但文件名仍然被编码 if (文件名.includes('..')) { return res.status(400).send('无效的文件名'); } // Express自动解码URL参数 // 攻击：文件名 = "..%2F..%2Fetc%2Fpasswd" // 解码后：“../../etc/passwd” - 绕过检查 const filePath = path.join('/uploads', 文件名); res.sendFile(文件路径); }); // 攻击负载：GET /file/..%252F..%252Fetc%252Fpasswd //双重编码：%252F变成%2F，然后变成/ **好：** // 安全：解码然后验证 const express = require('express'); const fs = require('fs'); const 路径 = require('路径'); app.get('/file/:文件名', (req, res) => { // Express 已解码一次，但检查双重编码让文件名=decodeURIComponent(req.params.filename); // 规范化为规范形式文件名 = 路径.normalize(文件名); // 现在验证规范化路径 if (filename.includes('..') || path.isAbsolute(filename)) { return res.status(400).send('无效的文件名'); } // 安全使用 const filePath = path.join('/uploads', 文件名); res.sendFile(文件路径); }); ### Java 示例 **不好：** // 漏洞：通过 URL 解码绕过 SQL 注入导入 java.net.URLDecoder; 导入 java.sql.*; 公共无效searchUser（字符串编码查询）{ // 解码前验证 if (encodedQuery.contains("'") || encodedQuery.contains("--")) { throw new SecurityException("无效字符"); } // 验证后解码字符串查询 = URLDecoder.decode(encodedQuery, "UTF-8"); // 攻击：encodedQuery = "admin%27%20OR%20%271%27%3D%271" // 解码后：“admin' OR '1'='1” - 绕过检查 String sql = "SELECT * FROM users WHERE name = '" + query + "'"; 语句 stmt = connection.createStatement(); 结果集 rs = stmt.executeQuery(sql); } **好：** // 安全：解码然后验证（但使用参数化查询）导入 java.net.URLDecoder; 导入 java.sql.*; 导入java.util.regex.Pattern；公共无效searchUser（字符串编码查询）{ // 首先解码为规范形式字符串查询 = URLDecoder.decode(encodedQuery, "UTF-8"); // 验证解码后的表单 if (!Pattern.matches("^[a-zA-Z0-9_]+$", 查询)) { throw new SecurityException("无效字符"); } // 使用参数化查询（最佳实践） String sql = "SELECT * FROM 用户 WHERE name = ?"; PreparedStatement stmt = connection.prepareStatement(sql); stmt.setString(1, 查询); 结果集 rs = stmt.executeQuery(); } ## 检测 **Python：** * 在 `unicodedata.normalize()` 之前进行验证 * 在 `urllib.parse.unquote()` 之前进行输入检查 * 字符串规范化之前的正则表达式模式 * 在 `html.unescape()` 之前进行 HTML 实体验证 **JavaScript/Node.js：** * 在 `decodeURIComponent()` 之前进行验证 * 在 `path.normalize()` 之前进行路径检查 * Express中间件顺序（解码前验证） * 在 `Buffer.from(input, 'base64')` 之前进行输入检查 **Java：** * 在 `URLDecoder.decode()` 之前进行验证 * `Normalizer.normalize()` 之前的安全检查 * 在 `StringEscapeUtils.unescapeHtml()` 之前进行输入验证 * `Paths.get().normalize()` 之前的路径验证 **PHP：** * 在 `urldecode()` 之前进行验证 * 在 `html_entity_decode()` 之前进行输入检查 * `realpath()`之前的路径验证 **搜索模式：** * Grep: `标准化\(|解码\(|unescape\(|URLDecoder|decodeURIComponent` * 在这些函数之前查找验证逻辑（if 语句、正则表达式） * 检查双重解码：按顺序进行多次解码调用 *审查Web框架路由（可能会发生自动解码） **常见的编码绕过技术：** * **URL 编码：** `%3c` 表示 `<`，`%2e%2e%2f` 表示 `../` * **双重 URL 编码：** `%253c` 表示 `<`（解码两次） * **Unicode 变体：** `<` (U+FF1C) 表示 `<` * **HTML 实体：** `<` 或 `<` 表示 `<` * **Unicode 转义：** `\u003c` 代表 `<` * **混合编码：** `%u003c` 或 `%c0%bc` 表示 `<` * **路径遍历：** `..%2f`, `..%5c`, `%2e%2e/` ## 预防 * **验证前标准化/解码：** 在对数据执行任何安全检查之前，始终将数据采用最简单、规范的形式。 * **使用参数化查询（对于 SQL）** 和其他在内部处理编码的安全 API。这是针对注入攻击的最佳防御。 * **对所有输入强制执行严格的字符编码**（例如，拒绝任何无效 UTF-8 的数据）。 * **注意您的 Web 框架或库执行的隐式解码**，并确保您的验证逻辑在其之后运行。 * **在验证路径和 URL 之前对其进行规范化，以防止路径遍历攻击。 ## 编码绕过测试 **手动测试：** 1.测试URL编码：`%3cscript%3e`、`..%2f..%2f` 2.测试双编码：`%253cscript%253e`、`..%252f..%252f` 3. 测试Unicode变体：`

编码绕过反模式

包含技能