VBS字符串的內(nèi)部實現(xiàn)最近對 VBS 字符串 Chr(0) 注①截斷討論得比較多，看來有必要介紹一下 VBS 字符串的內(nèi)部實現(xiàn)。
最近對 VBS 字符串 Chr(0) 注①截斷討論得比較多，看來有必要介紹一下 VBS 字符串的內(nèi)部實現(xiàn)。Demon 友情提示：本文需要一些 C 語言和 Windows 編程的知識，VBScript 初學(xué)者慎入。
VBS 是基于微軟的 ActiveX/COM 技術(shù)實現(xiàn)的，而 COM 對象為了做到支持任何語言，定義了一系列通用的數(shù)據(jù)類型，微軟稱之為自動化對象類型（Automation data types），其中之一就是 BSTR。VBS 在內(nèi)部是以 BSTR 來表示字符串的，BSTR 在 WTypes.h 中定義： 復(fù)制代碼 代碼如下: typedef wchar_t WCHAR; typedef WCHAR OLECHAR; typedef OLECHAR *BSTR; 從定義可以看出，BSTR 是指向 wchar_t 類型（也就是 C 語言中的 Unicode）的指針，但是 BSTR 并不是普通的 wchar_t 指針。標準 BSTR 指向一個有長度前綴和 NUL 結(jié)束符的 wchar_t 數(shù)組。BSTR 的前4字節(jié)是一個表示字符串長度的前綴。BSTR 長度域的值是字符串的字節(jié)數(shù)，并且不包括 NUL 結(jié)束符。常用的 BSTR 處理函數(shù)請參考 MSDN 文檔。 理論說的有點抽象，下面用代碼來說明： 復(fù)制代碼 代碼如下: str = "Hello" & Chr(0) & "world" 這是一句很簡單的 VBS 代碼，但是 VBScript 解釋器在內(nèi)部做了什么呢？其實就是初始化了一個 BSTR 變量（不考慮字符串連接過程）： 復(fù)制代碼 代碼如下: /* 僅僅為了演示，實際代碼肯定不是這樣的 */ BSTR str = SysAllocStringLen(L"Hello\0world", 11);為了更清楚地了解 BSTR 的結(jié)構(gòu)，我們換一種寫法： /* BSTR 包含長度前綴，但是卻實際指向第一個字符 */ wchar_t arr[] = {22,0,'H','e','l','l','\0','w','o','r','l','d','\0'}; BSTR str = &arr[2];這個 BSTR 在內(nèi)存中的結(jié)構(gòu)為： 00000000 16 00 00 00 48 00 65 00 6C 00 6C 00 6F 00 00 00 00000010 77 00 6F 00 72 00 6C 00 64 00 00 00 橙色表示四個字節(jié)的長度前綴。紅色高亮表示 BSTR 指針的當(dāng)前指向，藍色高亮表示字符串中的 Chr(0) 字符，綠色高亮表示 BSTR 的結(jié)束字符 NUL（該字符是 SysAllocStringLen 函數(shù)加上去的，因為是 Unicode，所以要占兩個字節(jié)）。也就是說，如果不考慮前面四個字節(jié)，BSTR 就是 C 語言中的 null-terminated string。 再看一段 VBS 代碼： MsgBox Len(str)用 MsgBox 來顯示剛才定義的字符串長度，VBScript 解釋器內(nèi)部又做了什么呢？是不是像 C 語言標準庫函數(shù) strlen 一樣，遍歷整個字符串，以 NUL 作為字符串結(jié)束的標識呢？ 復(fù)制代碼 代碼如下: /* C語言 strlen 函數(shù)的簡單實現(xiàn) */ size_t strlen (const char * str) { const char *eos = str; while( *eos++ ) ; return( (int)(eos - str - 1) ); } 答案顯然是否定的，因為字符串中含有 Chr(0)，如果像 strlen 這樣實現(xiàn)，那么就會被 Chr(0) 截斷，Len 函數(shù)應(yīng)該返回5才對，然而實際上返回的是11這個正確的數(shù)字。 VBS 的 Len 函數(shù)內(nèi)部應(yīng)該是這么實現(xiàn)的： 復(fù)制代碼 代碼如下: /* 同上，僅為演示 */ size_t Len(const BSTR str) { return SysStringLen(str); } 或者不調(diào)用 Windows API，由于 BSTR 前4個字節(jié)前綴表示字符串的字節(jié)數(shù)（不包括結(jié)尾的 BUL 字符），所以只要移動一下指針就行了： 復(fù)制代碼 代碼如下: /* 強制轉(zhuǎn)換成int指針減一后讀取，然后除以2(一個Unicode字符兩字節(jié)) */ size_t Len(const BSTR str) { return *((int *)str - 1) / 2; } 可以看出，由于 BSTR 的長度可以通過前綴取得，并不需要以 NUL 來作為字符串結(jié)束符，也就是說，VBS 字符串是 binary safe （二進制安全）的。 那么為什么下面的代碼只能顯示 Hello 呢？ MsgBox str這看起來好像和上面說的矛盾，其實不然。VBS 字符串的確是兼容 Chr(0) 字符的，MsgBox 之所以會被 Chr(0) 截斷，是因為 MsgBox 在內(nèi)部調(diào)用了 MessageBox 函數(shù)，而該函數(shù)是以 NUL 作為字符串結(jié)束符的。 復(fù)制代碼 代碼如下: /* 簡單起見只實現(xiàn)一個參數(shù) * MessageBox 的第二個參數(shù)是以 NUL 作為結(jié)束符的 * Pointer to a null-terminated string that contains the message to be displayed. * 所以 VBS 字符串中包含的 Chr(0) 會把字符串截斷 */ int MsgBox(const BSTR str) { return MessageBoxW(NULL, str, L"", 0); } 也就是說，如果 VBS 內(nèi)置的函數(shù)或者 COM 組件的某些方法在其內(nèi)部實現(xiàn)中調(diào)的 Windows API 的字符串參數(shù)是以 NUL 作為結(jié)束符的話，就會被 Chr(0) 字符截斷。 現(xiàn)在再去看《ASP/VBScript中CHR(0)的由來以及帶來的安全問題》、《ASP上傳漏洞之利用CHR(0)繞過擴展名檢測腳本》、《ASP缺陷—-一個特殊字符chr(0)》、《用Python腳本寫ASP頁面》，應(yīng)該就不會有疑問了吧。 時間關(guān)系就不再展開了，如果你想了解更多關(guān)于 COM 組件的知識，我推薦你拜讀一下 Jeff Glatt 的神作《COM in plain C》。 僅以此文回答雨中風(fēng)鈴的問題。 注①：本文中 Chr(0) 和 NUL 交替使用，表示同一個意思。 |
|
|
