由于 PHP 的文件系统操作是基于 C 语言的函数的，所以它可能会以您意想不到的方式处理 Null 字符。 Null字符在 C 语言中用于标识字符串结束，一个完整的字符串是从其开头到遇见 Null 字符为止。 以下代码演示了类似的攻击：
Example #1 会被 Null 字符问题攻击的代码
复制代码 代码如下:
php
$file = $_GET['file']; // "../../etc/passwd\0"
if (file_exists('/home/wwwrun/'.$file.'.php')) {
// file_exists will return true as the file /home/wwwrun/../../etc/passwd exists
include '/home/wwwrun/'.$file.'.php';
// the file /etc/passwd will be included
}
?>
因此，任何用于操作文件系统的字符串（译注：特别是程序外部输入的字符串）都必须经过适当的检查。以下是上述例子的改进版本：
Example #2 验证输入的正确做法
复制代码 代码如下:
$file = $_GET['file'];
// 对字符串进行白名单检查
switch ($file) {
case 'main':
case 'foo':
case 'bar':
include '/home/wwwrun/include/'.$file.'.php';
break;
default:
include '/home/wwwrun/include/main.php';
}
?>
一个函数错误就可能暴露系统正在使用的数据库，或者为攻击者提供有关网页、程序或设计方面的有用信息。攻击者往往会顺藤摸瓜地找到开放的数据库端口，以及页面上某些 bug 或弱点等。比如说，攻击者可以一些不正常的数据使程序出错，来探测脚本中认证的顺序（通过错误提示的行号数字）以及脚本中其它位置可能泄露的信息。
一个文件系统或者 PHP 的错误就会暴露 web服务器具有什么权限，以及文件在服务器上的组织结构。开发者自己写的错误代码会加剧此问题，导致泄漏了原本隐藏的信息。
有三个常用的办法处理这些问题。第一个是彻底地检查所有函数，并尝试弥补大多数错误。第二个是对在线系统彻底关闭错误报告。第三个是使用 PHP 自定义的错误处理函数创建自己的错误处理机制。根据不同的安全策略，三种方法可能都适用。
0
0
解析php安全性问题中的:Null 字符问题_PHP
php中文网
发布时间：2016-06-01 12:05:34
|1071人浏览过
|来源于php中文网
原创
相关文章
jQuery .load() 动态加载 PHP 页面指定元素的完整实践指南
生成指定时间范围内按固定间隔递增的时间序列（如每30分钟一个节点）
如何在 PHP 表单提交中实现服务端验证并阻止无效数据入库
如何将区块链大整数余额按指定小数位转换为可读格式
PHP用XMLReader流式解析大响应_PHPXMLReader流式解析调用法【大数】
相关标签:
本站声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn
热门AI工具
相关专题
本专题汇总了包子漫画官网和网页版入口，提供最新章节抢先看方法、正版免费阅读指南，以及稳定访问方式，帮助用户快速直达包子漫画页面，无广告畅享全集漫画内容。
47
2026.02.10
本专题汇总了MC.JS官网入口和网页版快速畅玩方法，提供免安装访问、不同版本（1.8.8、1.12.8）在线体验指南，以及正版网页端操作说明，帮助玩家轻松进入MC.JS世界，实现即时畅玩与高效体验。
34
2026.02.10
本专题汇总了谷歌邮箱网页版的最新登录入口和注册方法，详细提供官方账号快速访问方式、网页版操作教程及安全登录技巧，帮助用户轻松管理Gmail邮箱账户，实现高效、安全的邮箱使用体验。
25
2026.02.10
本专题全面汇总铁路12306订票、退票、改签及候补订单操作技巧，提供车厢座位分布参考、抢票攻略和高铁安检注意事项，帮助新手用户快速掌握高效购票与退改流程，提高出行效率和体验。
31
2026.02.10
本专题面向 AI 与数据科学开发者，系统讲解 TensorFlow 2 框架下深度学习模型的构建、训练、调优与部署。内容包括神经网络基础、卷积神经网络、循环神经网络、优化算法及模型性能提升技巧。通过实战项目演示，帮助开发者掌握从模型设计到上线的完整流程。
0
2026.02.10
本专题讲解 Vue 3 组合式 API 的核心概念与应用技巧，深入分析响应式系统、生命周期管理、组件设计与复用策略。通过完整项目案例，指导前端开发者实现高性能、结构清晰的 Vue 应用，提升开发效率与代码可维护性。
4
2026.02.10
本专题面向有 Go 基础的开发者，系统讲解微服务架构设计与 gRPC 的高效应用。内容涵盖服务拆分、RPC 通信、负载均衡、错误处理、服务注册与发现等关键技术。通过实战案例，帮助开发者搭建高性能、可扩展的 Go 微服务系统。
1
2026.02.10
本专题专注于 React 18 的高级开发技术，详细讲解 useState、useEffect、useReducer、useContext 等 Hooks 的使用技巧，以及 Redux、Zustand 等状态管理工具的集成与优化方法。通过真实案例，帮助前端开发者构建可维护、性能优良的现代 React 应用。
4
2026.02.10
本专题针对初中级 Node.js 开发者，系统讲解如何使用 Express 框架搭建高性能后端服务。内容包括路由设计、中间件开发、数据库集成、API 安全与异常处理，以及 RESTful API 的设计与优化。通过实际项目演示，帮助开发者快速掌握 Node.js 后端开发流程。
2
2026.02.10
热门下载
精品课程
最新文章
