ŚℇℒℇℂƮ;ŚℇℒℇℂƮ*：Unicode象形文字将如何破坏您的自定义SQL注入清理功能...

您也可以在我的 YouTube 频道 上观看此内容 。

什么是象形文字&＃xff1f;

同源字符是看起来像另一个字符的字符。 l&＃xff08;小写字母“ L”&＃xff09;和1&＃xff08;数字&＃xff09;被视为单字形。 O&＃xff08;字母&＃xff09;和0&＃xff08;数字&＃xff09;也是如此。

同形异义字可以存在于字符集中&＃xff08;例如上述拉丁字符集示例&＃xff09;&＃xff0c;也可以存在于字符集之间 。 例如&＃xff0c;您可能有Unicode撇号ʼ&＃xff0c;它是拉丁单引号字符&＃39;的同形符号。

SQL Server如何处理Unicode象形文字&＃xff1f;

你应该问有趣。 如果将Unicode字符传递给非Unicode数据类型&＃xff08;如char&＃xff09;&＃xff0c;则SQL会将Unicode字符隐式转换为与其最相似的非Unicode象形文字。

为了了解这一点&＃xff0c;我们可以使用上例中的Unicode撇号&＃xff1a;

您可以在第二列中看到SQL自动将撇号转换为单引号&＃xff1a;

From: https://hackernoon.com/ʼ-śℇℒℇℂʈ-how-unicode-homoglyphs-will-break-your-custom-sql-injection-sanitizing-functions-1224377f7b51