php - 什么从我的 PHP 网站过滤无效的 utf8？

Question

我的网站已完全转换为使用 utf-8(mysql、http header 、PHP mb_string 等)。

我正在做一些渗透测试并尝试将无效的 utf 发布到其中一个脚本(使用 BurpSuite)。

但是当我发布无效的 utf 时，只是对 $_POST var 进行十六进制转储，我看到无效的 utf 序列在我尝试使用 mb_detect_encoding 对其进行验证之前已经被清除。

这对我来说听起来是个好消息，但我想知道哪一层正在转换 POST 数据？

这是 Content-Type HTTP header 的副作用吗，也许我的网络服务器正在这样做 (lighttpd)。或者是 PHP 本身在填充 $_POST 时执行此操作？

我希望看到无效的 utf hexdumped，让我自己清理它。

Answer 1

PHP 本身不过滤 POST 数据，它只是将其作为始终“有效”的二进制数据处理(它只是数据，无需验证)。

因此，我怀疑您的网络服务器中有某个模块正在更改数据，或者有一些 PHP 扩展正在过滤数据。

检查您的网络服务器是否安装了网络防火墙以及您使用 PHP 加载的扩展列表，以及是否有与输入过滤相关的内容。