[mod_rewrite] URLにヌル文字が混ざると書き換えに失敗する / LiosK-free Blog

たまたま見つけたのでメモ。

mod_rewriteを使ってるサイトにアクセスするときに、

http://example.com/%00

みたいな感じにヌル文字をURLに含めると、なぜか404 Not Foundが返ってきてしまう。ネットで検索しても全然情報が見つからないんだけど、これって常識だったりするのかな？

↓のようなindex.txtと.htaccessをサーバーの適当なディレクトリに置く。

index.txt

helloworld

.htaccess

RewriteEngine on
RewriteRule .* index.txt

このように設定すれば、どのようなURLでこのディレクトリにアクセスしても、単にhelloworldと出力されるだけなはずで、実際にその通りになる。でも、URLに%00を含めると↓の画面。

Object not found!

WinXP + XAMPPで走っているローカル環境でもこの現象は起きたし、XREA.COMのサーバーでも起きた。

なんなんだろう、これ。null文字で挙動が変わると、インジェクション攻撃されるんじゃないかと若干不安になるんだが。

LiosK-free Blog