由于 PHP 使用底層 C 函數(shù)進(jìn)行文件系統(tǒng)相關(guān)操作，因此它可能會(huì)以完全意想不到的方式處理空字符。 在 C 語(yǔ)言中空字符標(biāo)識(shí)字符串的結(jié)束，所以一個(gè)完整的字符串是從其開頭到遇見空字符為止。 下面的示例展示了易受攻擊的代碼，演示了這個(gè)問題：
示例 #1 會(huì)被空字符攻擊的代碼
<?php
$file = $_GET['file']; // "../../etc/passwd\0"
if (file_exists('/home/wwwrun/'.$file.'.php')) {
// 當(dāng) /home/wwwrun/../../etc/passwd 文件存在的時(shí)候 file_exists 將會(huì)返回 true
include '/home/wwwrun/'.$file.'.php';
// 將會(huì)加載 /etc/passwd 文件
}
?>
因此，在文件系統(tǒng)操作中都應(yīng)該正確檢查任何被污染的字符串。這是上個(gè)示例的改進(jìn)版本：
示例 #2 驗(yàn)證輸入的正確性
<?php
$file = $_GET['file'];
// 對(duì)值進(jìn)行白名單檢查
switch ($file) {
case 'main':
case 'foo':
case 'bar':
include '/home/wwwrun/include/'.$file.'.php';
break;
default:
include '/home/wwwrun/include/main.php';
}
?>