问PHP -拒绝服务正则表达式
EN

Stack Overflow用户

提问于 2018-07-24 08:11:55

回答 1查看 147关注 0票数 0

当我的代码通过内部软件的OWASP top 10扫描时，它会抛出以下错误：

if (preg_match("/^attachment; filename=\"".$_GET['get_part']."\"$/",$part['Content-Disposition']))

他们给出的解释是：

正则表达式求值器和相关方法的实现中存在漏洞，可导致线程在评估嵌套和重复的正则表达式组的重复和交替重叠时挂起。此缺陷可用于执行拒绝服务(DoS)攻击。

目前还没有已知的对此漏洞免疫的正则表达式实现。

如何摆脱这个问题？

发布于 2018-07-24 08:55:23

不应将用户输入直接用作正则表达式的一部分。使用preg_quote()来转义它，这样它就会逐字匹配它。

if (preg_match("/^attachment; filename=\"".preg_quote($_GET['get_part'], '/')."\"$/",$part['Content-Disposition']))

票数 3

页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://stackoverflow.com/questions/51488751

复制

相似问题

问PHP -拒绝服务正则表达式EN