فك ترميز URL

الالتباس الذي لا يستطيع أحد حسمه نيابةً عنك

فك الترميز بسيط من الناحية الآلية — ابحث عن كل % يليها رقمان ست عشريان، وأعِدها بايتًا، ثم اقرأ البايتات بترميز UTF-8 — وفيه التباس حقيقي واحد فقط. علامة الجمع قد تعني مسافة، وقد تعني علامة جمع. في النموذج المُرسَل تعني مسافة، بحكم عُرف أقدم من مواصفة URL نفسها على الويب. وفي جزء المسار هي حرف حرفي. ولا شيء في النص نفسه يحدد أيّ الحالتين تنطبق، لذا تعرض لك الصفحة القراءتين معًا بدلًا من اختيار واحدة والخطأ بصمت — وهذا أهم ما يكون في الحالة الأشد ضررًا: عنوان بريد إلكتروني أو قيمة base64 تكون فيها علامة الجمع بيانات حقيقية.

يصل النص غير ASCII في صورة عدة تسلسلات نسبة مئوية لكل حرف، لأن الترميز يعمل على بايتات UTF-8 لا على الأحرف: الحرف المشكول بعلامة يأخذ تسلسلين، ومعظم الرموز ثلاثة، والإيموجي أربعة. وإذا فككت تسلسلًا ليس UTF-8 صالحًا فستحصل على أحرف بديلة — وهي عادةً علامة على أن النص رُمِّز من مجموعة أحرف مختلفة، أو أنه قُطع في منتصف حرف.

فك الترميز مرتين ثغرة أمنية، لا مجرد خطأ. إذا فُكّ ترميز قيمة ثم فُحصت ثم فُكّ ترميزها مرة أخرى، يستطيع المهاجم إخفاء أحرف عن الفحص: %252e%252e%252f يجتاز مرشّحًا يبحث عن «../» لأنه بعد المرور الأول يظل %2e%2e%2f، وبعد الثاني يصبح بالضبط الانتقال بين المجلدات الذي وُضع المرشّح لمنعه. فك الترميز مرة واحدة فقط، ثم تحقّق، ولا تعكس الترتيب أبدًا.

النص الذي لم يُرمَّز أصلًا يعود دون تغيير بدلًا من أن يُشوَّه، وهذا هو السلوك المفيد حين لا تكون متأكدًا من حاجة السلسلة إلى فك الترميز أصلًا. وعلامة النسبة المئوية التي لا يليها رقمان ست عشريان تُترك كما هي بدلًا من معاملتها كخطأ — فهي علامة % حرفية، شائعة في النص الذي لُصق ولم يُرمَّز.

عندما تحتاج إلى شيء آخر

في الكود، يجب أن يطابق فكُّ الترميز طريقةَ الترميز. في JavaScript توجد decodeURIComponent؛ وتفصل Python بين unquote وunquote_plus بسبب مسألة علامة الجمع تحديدًا؛ وفي PHP توجد rawurldecode وurldecode للسبب نفسه. والأفضل من ذلك أن تترك نوع URL أو محلّل سلسلة الاستعلام يتولى الأمر — فمعظم أطر العمل تفك ترميز المعاملات نيابةً عنك، وفك الترميز مرة أخرى بعد ذلك هو بالضبط الطريقة التي تُكتب بها ثغرة فك الترميز المزدوج المذكورة أعلاه.

لفحص رابط URL طويل بدلًا من فك ترميز قيمة واحدة، المحلّل أفضل من أداة فك الترميز: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" يقسّم العنوان إلى أجزائه لترى أي جزء هو أيّ قبل فك ترميز أي شيء، وهذا عادةً هو السؤال الحقيقي حين يتصرف رابط بشكل غريب.