Windows ANSI编码中的隐藏Transformer：WorstFit攻击详解
2025-01-09
安全研究员Orange Tsai揭露了Windows系统中一个新的攻击面——WorstFit。该攻击利用Windows内部的Best-Fit字符转换特性，将UTF-16 Unicode字符串转换为ANSI字符串时发生的意外转换，导致路径穿越、参数注入甚至远程代码执行。攻击利用了Best-Fit映射的不可预测性，在不同语言配置下表现各异，影响众多知名应用程序。研究人员还讨论了在开源生态系统中修复此类问题的挑战，并提出了缓解措施，例如尽量使用宽字符API。
阅读更多
科技
Best-Fit