ヌルバイト攻撃の対策について

質問

ヌルバイト攻撃の対策について教えて下さい。
一般的な"\0"を削除する方法なのですが、以下の場合ですと問題無ありません。が、
$arr = "abc\0def";
if (mb_strpos($arr, "\0")) {
$arr = str_replace("\0", "", $arr);
}
echo $arr;
※結果：abcdef

POST送信された値には、全く反応しません。
$arr = $_POST["arr"];//送信データは"abc\0def"
if (mb_strpos($arr, "\0")) {
$arr = str_replace("\0", "", $arr);
}
echo $arr;
※結果：abc\0def
スクリプトコードはUTF-8で、magic_quotes_gpcはOffです。
他にどこをチェックすればよいかわからず投稿しました。
チェックすべきところを教えていただけないでしょうか？
宜しくお願いいたします。

回答No.1

march4

回答にはなっていないかもしれませんが、

$arr = "abc\0def";

//$arr = "abc\0def";をチェック
echo var_dump($arr);
echo '<br>';
echo mb_detect_encoding($arr);
echo '<br>';

//--------------------------------------

//ポストで受け取った値をチェック
echo var_dump($_POST["arr"]);
echo '<br>';
echo mb_detect_encoding($_POST["arr"]);
echo '<br>';

//--------------------------------------

として、両者を比較し、
データの型とか、文字コードの種類などに違いがないか、
チェックされてみたらいかがでしょうか。

同じ文字列であるはずの両者で、結果が異なるわけですから、
恐らく、両者の文字列で何らかの違いが生じているのでは、
と私は思います。

以上、参考までに。＾＾

補足

こんにちはmarch4さん。
ありがとうございました。

以下、結果です。
> $arr = "abc\0def";

> //$arr = "abc\0def";をチェック
> echo var_dump($arr);
> echo '<br>';
> echo mb_detect_encoding($arr);
> echo '<br>';
string(7) "abc�def"
UTF-8

> //ポストで受け取った値をチェック
> echo var_dump($_POST["arr"]);
> echo '<br>';
> echo mb_detect_encoding($_POST["arr"]);
> echo '<br>';
string(8) "abc\0def"
UTF-8

ポストされてない方は文字化けしていません。
ということは、ポストされた値は何らかの処理がされていると考えるべきでしょうか？