- ubuntu12.04环境下使用kvm ioctl接口实现最简单的虚拟机
- Ubuntu 通过无线网络安装Ubuntu Server启动系统后连接无线网络的方法
- 在Ubuntu上搭建网桥的方法
- ubuntu 虚拟机上网方式及相关配置详解
CFSDN坚持开源创造价值,我们致力于搭建一个资源共享平台,让每一个IT人在这里找到属于你的精彩世界.
这篇CFSDN的博客文章正则表达式(regex)错误使用导致功能漏洞分析由作者收集整理,如果你对这篇文章有兴趣,记得点赞哟.
写在前面的话 。
正则表达式它的强大字符串匹配功能,导致目前在各种程序语言中,都非常流行!它被用来描述或者匹配一系列符合某个句法规则的字符串。很多刚刚使用正则表达式都是从听说这个,然后在要使用时候去网上搜索。 很少人一开始就系统去学习正则表达式,从定义原理使用系统学习。因为,对应初学者觉得它太麻烦了,好多原字符。看到那么长一串字符,就很头痛。因此,也懒得去学习。一般遇到问题,直接去网上搜索。如:“邮箱正则表达式,手机号正则表达式,url正则表达式…..” ,我们发现一个很有意思现象,“怎么邮箱正则表达式可以各种各样,url正则表达式也不相同“,都出都在推荐,都说自己是正确的,到底那个是正确的呢?
从各异的正则表达式,我们可以得出2个结论。1、正则表达式很灵活,多种方法可以实现同一种结果(条条大路通罗马),2、正则表达式匹配结果需要验证的,复杂正则表达式很容易产生错误匹配。今天,我这里不说正则表达式灵活性,我们看看常见正则表达式错误使用,产生功能漏洞例子。希望,我们在使用时候多多注意。以下例子,来自我工作中审核代码,经常出现例子,也欢迎朋友们补充! 。
定界符”^$”缺失bug 。
1
2
3
4
5
6
7
8
9
|
<?php
///检测用户名,只能是字符加数字
$user
=
"chengmo8"
;
if
(!preg_match(
"<strong>/[0-9a-zA-Z]+/</strong>"
,
$user
))
{
exit
(
"用户名错误!"
);
}
|
这是很常见的,因为没有定界符,正则表达式搜索,会从$user中,字符中从左向右搜索,指导找到满足条件的字符,就会匹配到,并且返回true,程序将继续执行。我们测试,用户名输入:chengmo8,chengmo8??!,#$chengm,中国cadadf,都可以匹配成功,看似要限制只能字符加数字用户名。实际由于缺乏限定符正则表达式,变成了,只要字符串中包含字母加数字就可以注册。而我们需要的是,从头到尾字符串必须是字母加数字。正则表达式应该是:^[0-9a-zA-Z]+$ ,看似简单,在做从头到尾字符匹配时候,不要忘记了^$字符。一个匹配输入字符开头,一个匹配输入字符结尾(默认换行符前) 。
这种经常做,手机号,邮箱,url,注册用户名,密码等。都需要有限定符号! 。
方括号字符"[ ]”中字符使用Bug 。
在正则表达式中,常见正则表达式原字符(.*?等等)在方括号字符中将变成普通字符。 在方括号字符中,表示特殊字符,只有“^-\” 3个字符是特殊字符。其中,“^”字符,在左方括号第一个字符时候,是代表不在后面所有字符中字符! 。
如:[^0]不能是0字符。而如果是:[0^] ,就代表包含0^字符了。因为:^已经不是左括号最右边一个字符了。 已经跟普通字一样了。“-”字符代表是范围字符,如:[0-9] 代表是匹配0到9直接字符。”\”转义字符,如果想匹配”-“字符,可以[0\-9],如果要匹配”\”,可以是:[0\\9],表示“09\” 3个字符了。说这么些,其实就是因为,很多朋友在使用方括号字符时候,经常会弄错特殊字符.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
|
<?php
///检测用户名,只能是字符加数字
$code
=
""
;
///匹配字符范围包含.*?
preg_match(
"/[.*?]+/"
,
$code
);
///匹配字符范围包含a到z 26个字符
preg_match(
"/[a-z]+/"
,
$code
);
///匹配字符范围包含A到z 实际上,是从默认情况ascii表中,A字符到z字符中间,一共48字符
preg_match(
"/[A-z]+/"
,
$code
);
///匹配字符范围包含A到z 是对应ascill码,16进制
preg_match(
"/[x41-x7A]+/"
,
$code
);
///只想匹配字符串and
preg_match(
"/[and]/"
,
$code
);
///实际匹配,所有包含a,n,d 组成所有字符,跟顺序无关
|
加红是经常错误理解,只想匹配and,一旦加入到"[ ]"中字符,可以理解为所有字符组成字符 集合。任意在其中出现字符,就可以匹配,跟顺序无关系!如果真需要匹配这类,按字符分组来,如”and|bnd” 将匹配and字符串,或者是bnd字符串。”|”字符是,字符串或操作符。左右两边连续字符串会组合为一个整体匹配.
好了,今天就整理,常见正则表达式,2种常见错误。欢迎大家交流! 。
最后此篇关于正则表达式(regex)错误使用导致功能漏洞分析的文章就讲到这里了,如果你想了解更多关于正则表达式(regex)错误使用导致功能漏洞分析的内容请搜索CFSDN的文章或继续浏览相关文章,希望大家以后支持我的博客! 。
我正在尝试编写一个函数,该函数接受输入字符串、正则表达式(由 std.regex.regex 从原始字符串生成)和错误消息字符串,并尝试匹配来自使用正则表达式输入字符串,如果没有匹配则显示错误消息。到
-edit- 注意 ?末.{2,}? 我发现你可以写 .{2,}? 是不是和下面一模一样? .{2} 最佳答案 号{2,}表示两次或更多次同时 {2}意思是正好两次。量词默认是贪婪的,所以给定字符串
我有以下文字: This is a test ::a. MODE 3 within 7 hours, ::b. MODE 4 within 13 hours, and ::c. MODE 5 with
我用 Regex.fromLiteral(".*") 创建了一个非常简单的匹配所有正则表达式. 根据documentation :“返回指定文字字符串的文字正则表达式。” 但是我真的不明白“对于指定的
就目前而言,这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持,但这个问题可能会引起辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开,visit the he
该Web项目将静态内容放入一些/content/img文件夹中。 网址规则是:/img/{some md5} 但在文件夹中的位置:/content/img/{前两位数字}/ 例子 url:
我有以下数据: SOMEDATA .test 01/45/12 2.50 THIS IS DATA 我想从中提取数字 2.50。我已设法使用以下 RegEx 做到这一点: (?<=\d{2}\/\d{
我需要证明或反驳下面的正则表达式 (RS + R )* R = R (SR + R)* // or, for programmers: /(RS|R)*R/ == /R(SR|R)*/ 我有一种强烈的
对于具有自由文本的字符串: "The shares of the stock at the XKI Market fell by €89.99 today, which saw a drop of a
例如,我有 RegEx DSX-?2 的 var 我需要将此变量添加到 RegEx 并获取此 .match(/DSX-?2/gi) 最佳答案 您可以创建一个 RegExp对象使用 new RegExp
我无法区分大小写的搜索无法在SQLITE中用于REGEX。支持语法吗? SELECT * FROM table WHERE name REGEXP 'smith[s]*\i' 我希望得到以下答案(假设
Visual Studio / XPath / RegEx: 给定表达式: (?(Car|Car Blue)) +(?.+) +---> +(?.+) 给定搜索字符串: Car Blue Flying
我有一个看起来像这样的正则表达式 /^(?:\w+\s)*(\w+)$*/ 什么是?: ? 最佳答案 它表示子模式是非捕获子模式。这意味着在 (?:\w+\s) 中匹配的任何内容,即使它被 () 括起
就目前而言,这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持,但这个问题可能会引起辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开,visit the he
我在 Excel 工作表(也以 csv 格式)中获得了姓名列表,并根据姓名来源进行了分组。 这就是我创建的组的样子。 现在我想添加一个新列,名称后面包含组名称。 这就是我想要获得的。 我如何得到这个?
我试图将一个字符串拆分为一个字符串列表,单词是分开的,但是周围的字符,例如.. "?()“”!"也分开。 要分隔的字符串是"testing “testing” “one two three” (hi
我有一个来自视频转换文件的完整日志,它看起来像这样: -------------------------------------------------------------------------
在定界符为“-”的模式 X-Y-Z 中,我想检查 Y 是否具有大小 8 而没有重复。 Y 可以是像 Y = (A-B-C) 这样的子集,但如果没有,则 Y 的值为 1 1 - num-12345678
Java确实有这个功能,谢谢你的回答,对我来说失去对API的关注太可惜了... 例如: String strOriginal = "A:B&C@D"; 我认为java中应该有一个非常好的方法来改变它,
我只需要接受符合这些规则的输入... 0.25-24 0.25 的增量(.00、.25、.50、.75) 第一个数字不是必须的。 希望尾随零是可选的。 一些有效条目的示例: 0.25 .50 .5 1
我是一名优秀的程序员,十分优秀!