【BUG】url 参数 AES 加密和解密问题

原文地址: 【BUG】url 参数 AES 加密和解密问题

欢迎访问我的博客: http://blog.duhbb.com/

引言

bug 复盘, 让你少写 bug!

今天分析的是一个 url 参数加密解密的问题, 原因破坏了加密后的字符串导致解密失败.

参数的加密解密

情况描述

url 有个参数是地址, 比如 http://www.hello.com/, 请求这个 url 的时候试图把最后的正斜杠给 trim 掉.

现在有个安全问题需要将这个地址参数给加密, 而加密后的字符串尾部可能出现 /.

所以处理这个问题的时候一定要注意:

• 加密之前可以 trim
• 加密之后的字符串不能再 trim 了, 否则加密的结果不完整

同理

• 解密之前的字符串是不能 trim 的
• 解密之后的字符串可以 trim 的

为什么一直没有暴露出这个问题呢?

原因是, 加密的盐值是用了日期, 导致 / 的出现是个概率问题, 摸不准那天就触发了这个雷了.

问题原因

如上, 就是因为解密的时候没有判断是否启用了加密, 而先去 trim 然后在解密, 会导致如果加密字符串尾部有 /, 最后解密的加密字符串是不对的.

正斜杠 / 需要转义吗?

Chrome + SpringBoot 测试

?a=/sdfsdf/sdfsf&b=/ 这种组合的话在 Spring 中是可以获取到带 / 的 a 和 b 的值的.

用 %2F 或者 %2f 的话也可以获取 / 参数, emmmmm.

算了, 不编码了 / 也能凑合用, 所以是 chrome 帮助我们编码了吗?

wget + SpringBoot 测试

wget http://192.168.213.161:8088/xxx/main.htm?a=/adsf/asdfsf/asdfasdf/

也能收到正斜杠 /.