豆知识(第二周)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20

iconv --help
用法： iconv [选项...] [文件...]
转换给定文件的编码。

 指定输入/输出格式：
  -f, --from-code=名称     原始文本的编码
  -t, --to-code=名称       输出的编码

 信息：
  -l, --list                 列举所有已知的字符集

 输出控制：
  -c                         从输出中略去无效的字符
  -o, --output=文件        输出文件
  -s, --silent               关闭警告
      --verbose              打印进度信息

  -?, --help                 给出此帮助列表
      --usage                给出简要的用法信息
  -V, --version              打印程序版本号

1
2
3

$ printf "fl\x80ag" | iconv -f UTF-8 -t UTF-8//IGNORE   # 使用 printf 输出原始字节，\x80 是非法的 UTF-8 起始字节
iconv: 位置 5 处的输入序列非法
flag⏎

1
2

$ printf "fl\xc3\xa0g" | iconv -f UTF-8 -t ASCII//TRANSLIT ## \xc3\xa0 是 UTF-8 编码的 'à' (U+00E0)
flag⏎

1
2

$ printf "+AGYAbABhAGc-" | iconv -f UTF-7 -t UTF-8 # 使用 UTF-7 的小特性
flag⏎

1
2
3
4
5
6

$ printf "铅笔" | iconv -f UTF-8 -t UTF-7
+lMV7FA-⏎                                                                                                                                                                                                                       󰪢 0s 󰜥 󰉋   /  /blog/images
$ printf "铅笔" | iconv -f UTF-8 -t UTF-16BE | base64
lMV7FA==
$ printf "flag" | iconv -f UTF-7 -t UTF-8
flag⏎

1

A-Z a-z 0-9 - _ . ~

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

def safe_upload(zip_path: Path, dest_dir: Path) -> list[str]:
    with zipfile.ZipFile(zip_path, 'r') as z:
        for info in z.infolist():
            target = os.path.join(dest_dir, info.filename)    # 直接拼接地址没有检查路径，可以实现路径穿越
            if info.is_dir():
                os.makedirs(target, exist_ok=True)
            else:
                os.makedirs(os.path.dirname(target), exist_ok=True)
                with open(target, 'wb') as f:
                    f.write(z.read(info.filename))