IDS08-J. ä¿¡é ¼ã§ããªã„データ㯠regex ã«æ¸¡ã™å‰ã«ç„¡å®³åŒ–ã™ã‚‹æ£è¦è¡¨ç¾ã¯æ–‡å—列ã®ãƒ‘ターンマッãƒãƒ³ã‚°ã«åºƒã使ã‚ã‚Œã¦ã„る。ãŸã¨ãˆã° POSIX ã® grep ユーティリティã§ã¯ã€æŒ‡å®šã•ã‚ŒãŸãƒ†ã‚ストã®ä¸ã‹ã‚‰ä¸€å®šã®ãƒ‘ターンを拾ã„出ã™ãŸã‚ã«ã€æ£è¦è¡¨ç¾ã‚’利用ã§ãる。æ£è¦è¡¨ç¾ã«ã¤ã„ã¦è©³ã—ãã¯ã€Java ãƒãƒ¥ãƒ¼ãƒˆãƒªã‚¢ãƒ«ã‚’å‚ç…§[Tutorials 08]。 java.util.regex パッケージã¯ã€ã‚³ãƒ³ãƒ‘イル済ã¿ã®æ£è¦è¡¨ç¾ã‚’ä¿æŒã™ã‚‹ Pattern クラスã¨ã€æ£è¦è¡¨ç¾ã‚’解釈ã—㦠CharSequence ã«å¯¾ã™ã‚‹ãƒ‘ターンマッãƒãƒ³ã‚°ã‚’行ㆠMatcher クラスをæä¾›ã™ã‚‹ã€‚ Java ã®å¼·åŠ›ãªæ£è¦è¡¨ç¾(regex)関連ã®æ©Ÿèƒ½ã¯ã€æ‚ªç”¨ã•ã‚Œãªã„よã†ã«ä¿è·ã—ãªã‘ã‚Œã°ãªã‚‰ãªã„。攻撃者ãŒå…ƒã®æ£è¦è¡¨ç¾ã‚’書ãæ›ãˆã‚‹ã‚ˆã†ãªå…¥åŠ›ã‚’与ãˆã‚‹ã“ã¨ã§ã€æ›¸ãæ›ãˆã‚‰ã‚ŒãŸæ£è¦è¡¨ç¾ãŒãƒ—ãƒã‚°ãƒ©ãƒ ã®ä»•æ§˜ã«æ²¿ã‚ãªããªã‚‹å¯èƒ½æ€§ãŒã‚る。ã“ã®æ”»æ’ƒæ‰‹æ³•(æ£è¦è¡¨ç¾ã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ã€regex injection)ã«
Java コーディングスタンダード CERT/Oracle 版
システム構æˆå›³ã‚„プレゼンテーション資料ãªã©ã§è‡ªç”±ã«ä½¿ãˆã‚‹ã€Œã•ãらã®ã‚¢ã‚¤ã‚³ãƒ³ã‚»ãƒƒãƒˆã€ã‚’公開ã„ãŸã—ã¾ã—ãŸã€‚ | ã•ãらã®ãƒŠãƒ¬ãƒƒã‚¸
{{#tags}}- {{label}}
{{/tags}}