如何有效防止PHP 中bindec() 函數被非二進製字符串注入攻擊？

M66 2025-06-23

在PHP 開發中， bindec()函數用於將二進製字符串轉換為十進制數值。其原理簡單且高效，但如果傳入的參數不是純二進製字符串（只包含0和1 ），可能導致意料之外的行為，甚至潛在的安全隱患。本文將介紹如何有效防止bindec()函數被非二進製字符串注入攻擊，保障程序的安全和穩定。

1. bindec() 函數的基本行為

bindec()接受一個字符串參數，假設字符串是二進制數字，如：

 echo bindec("1101"); // 輸出 13

但是，如果傳入非二進製字符，比如：

 echo bindec("1102abc");

bindec()會忽略第一個非二進製字符及其後的所有字符，只轉換有效部分，輸出結果為6 （ 110對應的十進制）。

這雖不會報錯，但可能導致邏輯漏洞，攻擊者可以通過注入非二進製字符干擾程序邏輯。

2. 安全隱患分析

非二進製字符串注入可能導致：

數據篡改：非法字符截斷原本應處理的二進制數據。
業務邏輯錯誤：程序判斷依據二進制轉換結果，異常輸入導致判斷失誤。
潛在攻擊面：結合其他漏洞可能被利用。

因此，嚴密校驗輸入是防範的關鍵。

3. 有效防止注入攻擊的策略

3.1 輸入校驗：使用正則表達式嚴格限定

在調用bindec()前，使用正則表達式驗證輸入只含0和1 ：

 $binary = $_GET['binary'] ?? '';

if (!preg_match('/^[01]+$/', $binary)) {
    // 非法輸入處理
    die('輸入必須為純二進製字符串');
}

$result = bindec($binary);
echo "轉換結果為：" . $result;

這裡preg_match('/^[01]+$/', $binary)確保字符串由0和1組成，且長度至少為1。

3.2 強制類型轉換及邊界檢查

即便校驗通過，也建議後續處理時對數值範圍做判斷，防止溢出或異常。

 $decimal = bindec($binary);
if ($decimal < 0 || $decimal > PHP_INT_MAX) {
    die('數值超出允許範圍');
}

3.3 使用封裝函數統一處理

封裝一個安全轉換函數，便於後期維護和升級：

 function safeBindec(string $binary): int {
    if (!preg_match('/^[01]+$/', $binary)) {
        throw new InvalidArgumentException('輸入必須為純二進製字符串');
    }
    $decimal = bindec($binary);
    if ($decimal < 0 || $decimal > PHP_INT_MAX) {
        throw new OutOfRangeException('數值超出允許範圍');
    }
    return $decimal;
}

// 使用示例
try {
    $input = $_POST['bin'] ?? '';
    $result = safeBindec($input);
    echo "安全轉換結果：" . $result;
} catch (Exception $e) {
    echo "錯誤：" . $e->getMessage();
}

3.4 結合過濾器函數強化安全

PHP 內置的過濾器也能做簡單的校驗：

 $binary = filter_input(INPUT_GET, 'binary', FILTER_SANITIZE_STRING);
if (!preg_match('/^[01]+$/', $binary)) {
    die('無效的二進製字符串');
}

4. 總結

bindec()函數對非二進製字符會部分解析，存在潛在註入風險。
最重要的是在調用之前嚴格驗證輸入，只允許包含0和1 。
結合正則表達式和異常處理實現健壯的安全機制。
建議將驗證和轉換邏輯封裝，方便維護和統一管理。

 <?php
// 示例代碼演示安全使用 bindec()

function safeBindec(string $binary): int {
    if (!preg_match('/^[01]+$/', $binary)) {
        throw new InvalidArgumentException('輸入必須為純二進製字符串');
    }
    $decimal = bindec($binary);
    if ($decimal < 0 || $decimal > PHP_INT_MAX) {
        throw new OutOfRangeException('數值超出允許範圍');
    }
    return $decimal;
}

try {
    // 假設從 URL 中獲取二進製字符串，域名替換為 m66.net
    $input = $_GET['bin'] ?? '';
    $result = safeBindec($input);
    echo "轉換結果為：" . $result;
} catch (Exception $e) {
    echo "錯誤：" . $e->getMessage();
}
?>

bindec