这篇文章主要介绍正则表达式中regex错误使用导致功能漏洞的示例分析,文中介绍的非常详细,具有一定的参考价值,感兴趣的小伙伴们一定要看完!
正则表达式它的强大字符串匹配功能,导致目前在各种程序语言中,都非常流行!它被用来描述或者匹配一系列符合某个句法规则的字符串。很多刚刚使用正则表达式都是从听说这个,然后在要使用时候去网上搜索。 很少人一开始就系统去学习正则表达式,从定义原理使用系统学习。因为,对应初学者觉得它太麻烦了,好多原字符。看到那么长一串字符,就很头痛。因此,也懒得去学习。一般遇到问题,直接去网上搜索。如:“邮箱正则表达式,手机号正则表达式,url正则表达式…..” ,我们发现一个很有意思现象,“怎么邮箱正则表达式可以各种各样,url正则表达式也不相同“,都出都在推荐,都说自己是正确的,到底那个是正确的呢?
从各异的正则表达式,我们可以得出2个结论。一、正则表达式很灵活,多种方法可以实现同一种结果(条条大路通罗马),二、正则表达式匹配结果需要验证的,复杂正则表达式很容易产生错误匹配。今天,我这里不说正则表达式灵活性,我们看看常见正则表达式错误使用,产生功能漏洞例子。希望,我们在使用时候多多注意。以下例子,来自我工作中审核代码,经常出现例子,也欢迎朋友们补充!
定界符”^$”缺失bug
<?php ///检测用户名,只能是字符加数字 $user="chengmo8"; if(!preg_match("<strong>/[0-9a-zA-Z]+/</strong>",$user)) { exit("用户名错误!"); }
这是很常见的,因为没有定界符,正则表达式搜索,会从$user中,字符中从左向右搜索,指导找到满足条件的字符,就会匹配到,并且返回true,程序将继续执行。我们测试,用户名输入:chengmo8,chengmo8??!,#$chengm,中国cadadf,都可以匹配成功,看似要限制只能字符加数字用户名。实际由于缺乏限定符正则表达式,变成了,只要字符串中包含字母加数字就可以注册。而我们需要的是,从头到尾字符串必须是字母加数字。正则表达式应该是:^[0-9a-zA-Z]+$ ,看似简单,在做从头到尾字符匹配时候,不要忘记了^$字符。一个匹配输入字符开头,一个匹配输入字符结尾(默认换行符前)
这种经常做,手机号,邮箱,url,注册用户名,密码等。都需要有限定符号!
方括号字符"[ ]”中字符使用Bug
在正则表达式中,常见正则表达式原字符(.*?等等)在方括号字符中将变成普通字符。 在方括号字符中,表示特殊字符,只有“^-\” 3个字符是特殊字符。其中,“^”字符,在左方括号第一个字符时候,是代表不在后面所有字符中字符!
如:[^0]不能是0字符。而如果是:[0^] ,就代表包含0^字符了。因为:^已经不是左括号最右边一个字符了。 已经跟普通字一样了。“-”字符代表是范围字符,如:[0-9] 代表是匹配0到9直接字符。”\”转义字符,如果想匹配”-“字符,可以[0\-9],如果要匹配”\”,可以是:[0\\9],表示“09\” 3个字符了。说这么些,其实就是因为,很多朋友在使用方括号字符时候,经常会弄错特殊字符。
<?php ///检测用户名,只能是字符加数字 $code = ""; ///匹配字符范围包含.*? preg_match("/[.*?]+/",$code); ///匹配字符范围包含a到z 26个字符 preg_match("/[a-z]+/",$code); ///匹配字符范围包含A到z 实际上,是从默认情况ascii表中,A字符到z字符中间,一共48字符 preg_match("/[A-z]+/",$code); ///匹配字符范围包含A到z 是对应ascill码,16进制 preg_match("/[x41-x7A]+/",$code); ///只想匹配字符串and preg_match("/[and]/",$code); ///实际匹配,所有包含a,n,d 组成所有字符,跟顺序无关
加红是经常错误理解,只想匹配and,一旦加入到"[ ]"中字符,可以理解为所有字符组成字符 集合。任意在其中出现字符,就可以匹配,跟顺序无关系!如果真需要匹配这类,按字符分组来,如”and|bnd” 将匹配and字符串,或者是bnd字符串。”|”字符是,字符串或操作符。左右两边连续字符串会组合为一个整体匹配。
以上是“正则表达式中regex错误使用导致功能漏洞的示例分析”这篇文章的所有内容,感谢各位的阅读!希望分享的内容对大家有帮助,更多相关知识,欢迎关注创新互联行业资讯频道!
当前名称:正则表达式中regex错误使用导致功能漏洞的示例分析-创新互联
本文网址:https://www.cdcxhl.com/article14/dsoege.html
成都网站建设公司_创新互联,为您提供App开发、品牌网站建设、网站设计公司、网站内链、外贸建站、服务器托管
声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联