Giải mã URL

Sự mơ hồ không công cụ nào giải quyết thay bạn

Về mặt cơ học, giải mã rất đơn giản — tìm từng dấu % theo sau là hai chữ số hex, đổi lại thành một byte, rồi đọc các byte đó theo UTF-8 — và chỉ có đúng một chỗ thực sự mơ hồ. Dấu cộng có thể là dấu cách, cũng có thể là dấu cộng. Trong biểu mẫu đã gửi, nó là dấu cách, theo một quy ước còn cũ hơn cả đặc tả URL của web. Trong một đoạn đường dẫn, nó là ký tự thật. Bản thân văn bản không cho biết trường hợp nào đúng, nên trang này hiển thị cả hai cách đọc thay vì chọn một và âm thầm sai — điều này quan trọng nhất ở chỗ nó gây hại nhiều nhất: một địa chỉ email hay một giá trị base64, nơi dấu cộng là dữ liệu thật.

Văn bản ngoài ASCII xuất hiện dưới dạng nhiều chuỗi phần trăm cho mỗi ký tự, vì mã hóa làm việc trên byte UTF-8 chứ không phải trên ký tự: một chữ có dấu chiếm hai chuỗi, phần lớn ký hiệu chiếm ba, một emoji chiếm bốn. Giải mã một chuỗi không phải UTF-8 hợp lệ, bạn sẽ nhận được ký tự thay thế — thường là dấu hiệu văn bản đã được mã hóa từ một bảng mã khác, hoặc đã bị cắt cụt giữa chừng một ký tự.

Giải mã hai lần là lỗ hổng bảo mật, không chỉ là một sai sót. Nếu một giá trị được giải mã, kiểm tra, rồi lại giải mã lần nữa, kẻ tấn công có thể giấu ký tự khỏi bước kiểm tra: %252e%252e%252f lọt qua bộ lọc đang tìm “../” vì sau lần giải mã đầu nó vẫn là %2e%2e%2f, và sau lần thứ hai nó chính là kiểu duyệt thư mục mà bộ lọc sinh ra để chặn. Hãy giải mã đúng một lần, rồi mới kiểm tra, và không bao giờ làm theo thứ tự ngược lại.

Văn bản chưa từng được mã hóa sẽ được trả về nguyên vẹn thay vì bị làm hỏng — đây là cách xử lý hữu ích khi bạn không chắc một chuỗi có cần giải mã hay không. Dấu phần trăm không theo sau bởi hai chữ số hex sẽ được giữ nguyên thay vì bị coi là lỗi — đó là dấu phần trăm thật, thường gặp trong văn bản được dán vào chứ không phải được mã hóa.

Khi bạn cần công cụ khác

Trong code, bộ giải mã nên khớp với bộ mã hóa. JavaScript có decodeURIComponent; Python tách unquote khỏi unquote_plus đúng vì câu hỏi dấu cộng; PHP có rawurldecode và urldecode cũng vì lý do đó. Tốt hơn nữa, hãy để một kiểu URL hoặc bộ phân tích query string làm việc này — phần lớn framework đã giải mã tham số cho bạn, và giải mã thêm lần nữa sau đó chính là cách lỗi giải mã hai lần ở trên được viết ra.

Để xem xét một URL dài thay vì giải mã một giá trị, bộ phân tích hữu ích hơn bộ giải mã: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" tách một địa chỉ thành các phần để bạn thấy phần nào là phần nào trước khi giải mã bất cứ thứ gì — đó thường mới là câu hỏi thực sự khi một đường link hoạt động bất thường.