如果黑客将BLOG_CHARSET更改为UTF-7，是否会使WordPress容易受到进一步的攻击？

时间：2012-12-24 作者：Jennette

我有一个客户最近被黑客攻击了，我注意到她的网站上出现了一些奇怪的角色，比如和。事实证明，黑客在wp_options 数据库中的表。我将其设置回UTF-8，但我想知道在设置为UTF-7期间，是否会产生任何安全漏洞？

我搜索了一下发现WordPress UTF-7 vulnerability that was fixed in version 2.0.6. 我们正在运行WordPress的最新版本，因此他们不可能使用该漏洞，但是否有其他与UTF-7相关的漏洞？真的，除了让人痛苦之外，黑客还有什么理由改变blog\\u字符集吗？我一直在试图确定他们是如何进来的，我想知道这是否有某种联系。

2 个回复
SO网友:fuxia

< 和> 编码为+ADw- 和+AD4- 在里面UTF-7. 现在想象一下：

某人发送+ADw-script+AD4-alert(+ACI-Hello+ACI-)+ADw-/script+AD4- 作为注释文本。它将通过所有卫生设施。

数据库期望并将所有传入数据视为UTF-8。由于所有UTF-7流也都是有效的UTF-8，因此这永远不会导致SQL错误，并且mysql_real_escape 或htmlspecialchars 不会碰它。

WordPress发送标题text/html;charset=utf-7.

WordPress显示注释，应为转义数据。但由于浏览器将其视为UTF-7，因此将执行JavaScript。

因此，是的，这是一个安全问题。

并非所有浏览器都支持UTF-7，大多数浏览器将文本呈现为Windows-1252（或其操作系统上的默认编码）或UTF-8。主要问题是：逃跑不再有效。

仅仅更改编码值并不能解决问题。一个常客永远无法改变它，所以你必须找到打开的门。

SO网友:Travis van der Font

此外，可能需要（重新转换表的所有编码）：https://stackoverflow.com/questions/6115612/how-to-convert-an-entire-mysql-database-characterset-and-collation-to-utf-8

结束
标签： security   encoding   hacked   characters   小码农  

相关推荐

在触发“The Plugin Generated x Characters of Underular Output of Underful Output During Activate”错误时查看输出

我正在开发一个插件，在创建新表时遇到了一些困难。我得到了“插件在激活期间生成了x个字符的意外输出”错误。是否有办法查看实际错误？我认为这个过程涉及重定向，因此我没有看到实际的错误输出。我有所有的错误报告和登录，但仍然一无所获。