オーバーロングシーケンス UTF8 とは？ - Web/DB プログラミング徹底解説

UTF-8 はISO 10646 の 31 ビット空間を 8 ビットに写像するエンコード方法です。 このエンコード、デコードを不正に行うことで、UTF-8 パーサーの脆弱性が攻撃される場合が過去にありました。 ある exploit では URL に %c0%af というシーケンスが利用されました。これがなぜ問題になるのかみてみましょう。 ここに見られる %c0%af は UTF-8 の URL エンコードです。これをデコードしてみましょう。 c0 af を 2 進数に直すと次のようになります。 11000000 10101111 ここで 110 で始まるシーケンスに関する UTF-8 のエンコードルールは次のようになります。 00000080 - 000007FF の場合、ISO 10646 のコードを 2 進数で 0000000 00000000 00000xxx xxyyyyyy と表