ASP/VBScript中CHR(0)的由来以及带来的安全问题分析
程序员文章站
2022-04-10 08:19:45
该字符标识着字符串的结束，也称作null-terminated，这个给脚本编程尤其是asp编程带来了一定的麻烦，很多人可能会问为什么要保留这个特殊字符，我们可以追溯到编写操...
该字符标识着字符串的结束，也称作null-terminated，这个给脚本编程尤其是asp编程带来了一定的麻烦，很多人可能会问为什么要保留这个特殊字符，我们可以追溯到编写操作系统的语言之一c语言，学过c/c++的童鞋可能知道，在字符串中标识一个字符串结束靠的就是结尾的\0（null或者0），否则不能称作为字符串，只能说是字符串数组，任何对于字符串操作的函数如果传入的字符串丢掉了这个结束null字符，都有可能会出现异常。
char strbuf[] = "hello"
// 等价于
char strbuf[] = {'h', 'e', 'l', 'l', 'o', '\0'}
字符串长度的判断函数简单的实现之一：
size_t strlen_a(const char * str) {
size_t length = 0;
while (*str++ )
++length;
return length;
}
可以看出while循环是以0为结束标志的，那么这里的结束标志就是字符串结尾的\0字符。这种字符串的标识方法可以说是有其道理的，因为c语言这类比较底层的语言，需要的是执行的效率，而且更好的存储空间控制，也就是说我们对于字符串变量是需要自己掌握和分配存储字符串的空间的，一般字符串分配空间要远远大于字符串的长度，并且c语言auto方式分配的变量在未初始化前是填充的垃圾值，这时向这个空间装入我们的字符串，只需要简单的设置字符串最后一个为\0字符就可以了，有效避免了整个空间的操作，还有一个原因就是输出这个字符串时必须说明字符串到哪里结束，总不能输出整个字符串存储空间的值吧，呵呵，可能解释有点牵强。
' 该函数仅供演示，请勿用于生产环境
function getfileextensionname(filename)
dim lastdotpos
lastdotpos = instrrev(filename, ".")
getfileextensionname = right(filename, len(filename) - lastdotpos)
end function
这个函数只用来演示，通过这个函数我们可以取到一个上传文件的扩展名，比如说sample.jpg，通过上面的函数获得jpg，如果恶意攻击者构造这么一个上传文件名sample.asp<null>.jpg，也就是"sample.asp" & chr(0) & ".jpg"，则上面的函数依旧获取扩展名为jpg，而asp由于vbscript特性，会按照chr(0)进行字符串截断，那么上传后文件名变成了sample.asp，这是相当危险的。通常的做法就是过滤掉chr(0)，比如下面的函数：
function filterfilename(filename)
filterfilename = replace(filename, vbnullchar, "")
end function
不过如果出现这种情况，则说明用户可能在尝试利用上传漏洞攻击系统，所以我认为比较妥当的做法是发现包含chr(0)，则禁止文件上传，避免过滤后恶意文件依旧上传了，虽然恶意文件不起作用。查询了正则库regexlib.com ，我找到了比较好的判断校验文件名的办法，接下来提供这个比较通用的正则匹配文件名是否合法的函数供大家参考：
function isacceptablefilename(filename)
set objregexp = new regexp
objregexp.ignorecase = true
objregexp.global = false
objregexp.pattern = _
"^(?!^(prn|aux|clock\$|config\$|" & _
"nul|con|com\d|lpt\d|\..*)" & _
"(\..+)?$)[^\x00-\x1f\\?*:\"";|/]+$"
isacceptablefilename = objregexp.test(filename)
set objregexp = nothing
end function
isacceptablefilename函数可以检测文件名是否包含一些非法的字符比如0x00~0x1f以及?*\/这些禁止的路径字符，同时还能检测windows下特殊的设备名，比如prn、con、nul等，避免恶意设备名文件上传。
2011年12月20日更新
关于null字符上传漏洞攻击实现代码请参考《asp上传漏洞之利用chr(0)绕过扩展名检测脚本》
复制代码 代码如下:
char strbuf[] = "hello"
// 等价于
char strbuf[] = {'h', 'e', 'l', 'l', 'o', '\0'}
字符串长度的判断函数简单的实现之一：
复制代码 代码如下:
size_t strlen_a(const char * str) {
size_t length = 0;
while (*str++ )
++length;
return length;
}
可以看出while循环是以0为结束标志的，那么这里的结束标志就是字符串结尾的\0字符。这种字符串的标识方法可以说是有其道理的，因为c语言这类比较底层的语言，需要的是执行的效率，而且更好的存储空间控制，也就是说我们对于字符串变量是需要自己掌握和分配存储字符串的空间的，一般字符串分配空间要远远大于字符串的长度，并且c语言auto方式分配的变量在未初始化前是填充的垃圾值，这时向这个空间装入我们的字符串，只需要简单的设置字符串最后一个为\0字符就可以了，有效避免了整个空间的操作，还有一个原因就是输出这个字符串时必须说明字符串到哪里结束，总不能输出整个字符串存储空间的值吧，呵呵，可能解释有点牵强。
好，我们再来看为什么asp/vbscript中保留了这个特性，我们知道vbscript是vb（visual basic）的一个子集，vb是什么，vb是做windows应用程序开发的，说到windows应用程序开发那么就可能会调用到windows系统的api，而这些api函数则大多是用c语言编写的，很明显为了vb能够兼容这些api，必然字符串要引入chr(0)字符也就是vbnullchar，同时也要有c语言字符串处理的特性，就是遇到chr(0)就标识着字符串结束，无论接下来是什么内容，最经典的利用chr(0)字符的winapi函数调用就是getlogicaldrivestrings ，这个api获取的驱动器字符串就类似于c:\<null>d:\<null><null>，每两个路径之间都间隔一个 null-terminated，也就是chr(0)，所以需要特殊处理，如果说vb不支持chr(0)字符，那么这个api就用不了了，vb的应用程序编写就大打折扣。不过特别的是vb的子集vbscript保留了这个特性，目前我不太清楚在vbscript脚本中null字符是否有必要，但是这给我们脚本编写有其是asp带来了一定的麻烦，甚至是安全隐患。
比如说这样一个函数用来取文件扩展名：
复制代码 代码如下:
' 该函数仅供演示，请勿用于生产环境
function getfileextensionname(filename)
dim lastdotpos
lastdotpos = instrrev(filename, ".")
getfileextensionname = right(filename, len(filename) - lastdotpos)
end function
这个函数只用来演示，通过这个函数我们可以取到一个上传文件的扩展名，比如说sample.jpg，通过上面的函数获得jpg，如果恶意攻击者构造这么一个上传文件名sample.asp<null>.jpg，也就是"sample.asp" & chr(0) & ".jpg"，则上面的函数依旧获取扩展名为jpg，而asp由于vbscript特性，会按照chr(0)进行字符串截断，那么上传后文件名变成了sample.asp，这是相当危险的。通常的做法就是过滤掉chr(0)，比如下面的函数：
复制代码 代码如下:
function filterfilename(filename)
filterfilename = replace(filename, vbnullchar, "")
end function
不过如果出现这种情况，则说明用户可能在尝试利用上传漏洞攻击系统，所以我认为比较妥当的做法是发现包含chr(0)，则禁止文件上传，避免过滤后恶意文件依旧上传了，虽然恶意文件不起作用。查询了正则库regexlib.com ，我找到了比较好的判断校验文件名的办法，接下来提供这个比较通用的正则匹配文件名是否合法的函数供大家参考：
复制代码 代码如下:
function isacceptablefilename(filename)
set objregexp = new regexp
objregexp.ignorecase = true
objregexp.global = false
objregexp.pattern = _
"^(?!^(prn|aux|clock\$|config\$|" & _
"nul|con|com\d|lpt\d|\..*)" & _
"(\..+)?$)[^\x00-\x1f\\?*:\"";|/]+$"
isacceptablefilename = objregexp.test(filename)
set objregexp = nothing
end function
isacceptablefilename函数可以检测文件名是否包含一些非法的字符比如0x00~0x1f以及?*\/这些禁止的路径字符，同时还能检测windows下特殊的设备名，比如prn、con、nul等，避免恶意设备名文件上传。
2011年12月20日更新
关于null字符上传漏洞攻击实现代码请参考《asp上传漏洞之利用chr(0)绕过扩展名检测脚本》
上一篇： 关于vbs 生成静态页面过程中出现的问题
下一篇： vbs整人代码大集合 多年的代码收集