내 PHP 웹 사이트에서 잘못된 utf8을 필터링하는 것은 무엇입니까?

Question

내 웹 사이트는 utf-8 (mysql, http 헤더, PHP mb_string 등)을 사용하도록 완전히 변환되었습니다.

Im은 일부 침투 테스트를 수행하고 잘못된 utf를 스크립트 중 하나 (BurpSuite 사용)에 POST하려고합니다.

하지만 유효하지 않은 utf를 게시 할 때 $ _POST var를 16 진수로 덤프하는 경우 mb_detect_encoding을 사용하여 유효성을 검사하기 전에 유효하지 않은 utf 시퀀스가 ​​이미 삭제 된 것으로 나타납니다.

나에게 좋은 소식이지만, 어느 레이어가 POST 데이터를 변환하는지 알고 싶습니까?

Content-Type HTTP 헤더의 부작용입니까, 아마도 내 웹 서버가 lighttpd를 수행하고있는 것일 수 있습니다. 또는 PHP 자체에서 $ _POST를 채울 때입니까?

내가 부적절한 utf hexdumped를 볼 것으로 예상되어 나를 위생적으로 만들었습니다.

Answer 1

PHP 자체는 POST 데이터를 필터링하지 않고 항상 이진 데이터로 처리합니다.이 데이터는 항상 "유효합니다"(단지 데이터 일 뿐이며 유효성을 검사하지 않습니다)입니다.

따라서 웹 서버에 데이터를 변경하는 모듈이 있거나 데이터를 필터링하는 PHP 확장이 있다고 의심됩니다.

웹 서버에 웹 방화벽이 설치되어 있고 PHP로로드하는 확장 목록과 입력 필터링 관련 사항이 있는지 확인하십시오.