str_replace() en cadenas multibyte peligroso?

Question

Dado ciertos conjuntos de caracteres multibyte, ¿estoy en lo correcto al asumir que lo siguiente no hace lo que estaba destinado a hacer?

$string = str_replace('"', '\\"', $string); 

En particular, si la entrada estaba en un conjunto de caracteres que pueden tener un carácter válido como 0xbf5c, por lo que un atacante puede inyectar 0xbf22 para obtener 0xbf5c22, dejando un carácter válido seguido de una comilla doble sin comillas (") .

¿hay una manera fácil de mitigar este problema, o soy yo la mala interpretación del tema en el primer lugar

(en mi caso, la cadena va en el atributo de valor de una etiqueta HTML de entrada:? eco 'input type = "text" value = "'. $ string. '">';)

EDITAR: para el caso, ¿qué pasa con una función como preg_quote()? No existe un argumento de conjunto de caracteres, por lo que parece totalmente inútil en este escenario. Cuando NO tienes la opción de limitar el juego de caracteres a UTF-8 (sí, eso sería bueno), parece que estás realmente discapacitado. ¿Qué funciones de reemplazo y de cotización están disponibles en ese caso?

Answer 1

No, tiene razón: el uso de una función de cadena de un solo byte en una cadena multibyte puede causar un resultado inesperado. Usar la multibyte string functions lugar, por ejemplo mb_ereg_replace o mb_split:

$string = mb_ereg_replace('"', '\\"', $string); 
$string = implode('\\"', mb_split('"', $string)); 

---

Editar He aquí una aplicación mb_replace utilizando la fracción de unirse a la variante:

function mb_replace($search, $replace, $subject, &$count=0) { 
    if (!is_array($search) && is_array($replace)) { 
     return false; 
    } 
    if (is_array($subject)) { 
     // call mb_replace for each single string in $subject 
     foreach ($subject as &$string) { 
      $string = &mb_replace($search, $replace, $string, $c); 
      $count += $c; 
     } 
    } elseif (is_array($search)) { 
     if (!is_array($replace)) { 
      foreach ($search as &$string) { 
       $subject = mb_replace($string, $replace, $subject, $c); 
       $count += $c; 
      } 
     } else { 
      $n = max(count($search), count($replace)); 
      while ($n--) { 
       $subject = mb_replace(current($search), current($replace), $subject, $c); 
       $count += $c; 
       next($search); 
       next($replace); 
      } 
     } 
    } else { 
     $parts = mb_split(preg_quote($search), $subject); 
     $count = count($parts)-1; 
     $subject = implode($replace, $parts); 
    } 
    return $subject; 
} 

En cuanto a la combinación de parámetros, este La función debería comportarse como el singlebyte str_replace.

Answer 2

Se puede utilizar cualquiera mb_ereg_replace especificando primero el juego de caracteres con mb_regex_encoding(). Alternativamente, si usa UTF-8, puede usar preg_replace con el modificador u.

Answer 3

Por lo que entiendo, gran parte de este tipo de inyección de cadena se resuelve con mysql_real_escape_string(); función.

http://php.net/manual/en/function.mysql-real-escape-string.php

Answer 4

El código es perfectamente seguro con sanos multibyte-codificaciones, como UTF-8 y EUC-TW, pero peligroso con rotos unos como Shift_JIS, GB *, etc. En vez de ir a través de todos el dolor de cabeza y la sobrecarga para estar seguros con estas codificaciones heredadas, recomendaría solo apoyar UTF-8.