t_komuraの日記[B!]新着記事・評価 - はてなブックマーク

マルチバイト正規表現関係のメモ - t_komuraの日記

9 users

t-komura.hatenadiary.org

久しぶりに mbstring モジュール(特にマルチバイト正規表現)のソースコードを眺めていたのですが、いくつか面白い(知らなかった)挙動がありましたでメモしておきます。確認した PHP のバージョンは 5.4.10 ですが、PHP 5.0 以降であれば、あまり変わりません。パターン修飾子 m と s の解釈これまでは Perl 互換の正規表現と同じと思っていたのですが、マルチバイト正規表現のパターン修飾子 m と s は Perl 互換の正規表現(preg)と挙動が違います。 mb_ereg_replace() と preg_replace() で、改行を含む文字列置き換えの結果を比較すると以下のようになります。パターン修飾子 s(マルチバイト正規表現:ONIG_OPTION_SINGLELINE, Perl互換正規表現:PCRE_DOTALL) $ php -r 'echo m

テクノロジー
2013/01/07 15:32

php.ini で mbstring.encoding_translation を有効にすると max_input_vars が有効にならない(PHP 5.4.8以前、PHP 5.3.18以前) - t_komuraの日記

10 users

t-komura.hatenadiary.org

少し前の話題ですが、PHP 5.4.9 と PHP 5.3.18 が公開されました。その中で、mbstring の項目に「mbstring.encoding_translation = On になっていると max_input_vars が有効にならない」問題が修正されています。 http://git.php.net/?p=php-src.git;a=commitdiff;h=7fcbe4d5467300a0acee78330a0cdc9d1cbf05ad また、詳細や確認方法は徳丸さんが以下にまとめておられます。セキュリティ情報:PHP5.4.8、PHP5.3.18以前にhashdos脆弱性。再現条件この件は再現条件が分かりにくいので、少し調べてみました。その結果、以下のことが分かりました。 PHP 5.3.9 で max_input_vars が導入された(hashdos 脆弱性

テクノロジー
2012/12/06 07:15

php
Security

Cookie の HttpOnly 属性 - t_komuraの日記

5 users

t-komura.hatenadiary.org

PHP internals で HTTP-Only Patch という投稿がありました。この Patch を適用するかどうかで議論され、PHP 5.2 系のブランチに適用されたようです(デフォルトでは無効のようです)。 http://news.php.net/php.internals/25233 http://news.php.net/php.cvs/39892 http://ilia.ws/archives/121-httpOnly-cookie-flag-support-in-PHP-5.2.html これに関連して、気になった記事がありましたので、メモしておきます。 On HttpOnly, Firefox-specific XSS and this years major Livejournal XSS attack http://www.rooftopsolutions.nl

テクノロジー
2012/03/02 13:31

security
PHP

「体系的に学ぶ安全なWebアプリケーションの作り方」 - t_komuraの日記

4 users

t-komura.hatenadiary.org

「体系的に学ぶ安全なWebアプリケーションの作り方脆弱性が生まれる原理と対策の実践」という書籍が3/1に発売されました。体系的に学ぶ安全なWebアプリケーションの作り方脆弱性が生まれる原理と対策の実践作者: 徳丸浩出版社/メーカー: SBクリエイティブ発売日: 2011/03/01メディア: 単行本購入: 119人クリック: 4,283回この商品を含むブログ (146件) を見る脆弱性が生まれる原理からその解消方法まで、丁寧に説明されています。タイトル通り、体系的に Web アプリケーションセキュリティについて学ぶには最適の書籍だと思います。これまでに出版された書籍や Web サイトは、攻撃方法とその対策という形で書かれることが多かったように思いますが、この書籍では脆弱性がなぜ生まれるのかに重点を置いて説明されています。脆弱性が生まれる原理を理解することは、小手先の対策ではな

テクノロジー
2011/03/06 22:16

php
security

一部の言語構造と関数で引数の値に NULL バイトが含まれていた場合の挙動修正 - t_komuraの日記

15 users

t-komura.hatenadiary.org

PHP 5.3.4(最新は PHP 5.3.5) で、引数の値にファイルパスが指定可能な言語構造と関数に NULL バイトが含まれていた場合、処理が失敗するように修正されました。 http://svn.php.net/viewvc?view=revision&revision=305507 簡単に調べてみたところ、少なくとも、以下の言語構造と関数が該当するようです。言語構造 include include_once require require_once Bzip2 bzopen Enchant enchant_broker_request_pwl_dict Fileinfo finfo_open GD image2wbmp imagegd2 imagegif imagejpeg imagepng imagewbmp imagexbm iptcembed jpeg2wbmp png2w

テクノロジー
2011/03/06 21:53

mb_detect_encoding() は文字コードの妥当性検証として使用できるか(その2) - t_komuraの日記

5 users

t-komura.hatenadiary.org

前回(mb_detect_encoding() は文字コード判定として使用できるか(その1))の続きです。 mb_check_encoding() と mb_detect_encoding() を正規表現として表わして比較してみました。各文字コードごとにまとめます。調査した PHP のバージョンは、5.2.9 で、前回の Patch を適用したもので調査しました。通常の PHP の結果とは一致しません。間違いを発見した方はコメントなどでご指摘ください。 ASCII 正規表現 mb_detect_encoding()\A[\x00\x09\x0a\x0d\x20-\x7f]*\z mb_check_encoding() \A[\x00-\x7f]*\z 相違点通常、ASCII の正規表現といえば、mb_check_encoding() と同じ "\A[\x00-\x7f]*\z" と考え

テクノロジー
2010/12/20 18:33

mb_detect_encoding() は文字コード判定として使用できるか(その1) - t_komuraの日記

10 users

t-komura.hatenadiary.org

最近、mb_detect_encoding() について調べていたので、そのメモです。mb_detect_encoding() は文字コード検出を行う関数です(mb_detect_encoding() - PHP マニュアル)。結論としては、以下の問題があるため、mb_detect_encoding() を文字コード判定には向いていないように思います。判定が甘い例えば、("SJIS" === mb_detect_encoding( "\x81", "SJIS" )) は SJIS の上位バイトのみの判定になり、FALSE を返してほしいところですが、TRUE を返します。第3引数に strict (厳格なエンコーディング検出)を指定しても同様です。 UTF-8 の判定に問題がある一部の文字列(\xc0\x00, \xd0\x00, ..., \xfd\x00)の判定では、TRUE

テクノロジー
2009/11/26 16:42

いわゆる半角カナや種依存文字などをメールで送信する方法 - t_komuraの日記

23 users

t-komura.hatenadiary.org

随分前から書こうと思っていて忘れていたのですが、役に立つ人がいるかもしれませんので、書いておきたいと思います。メールの送信エンコーディングに UTF-8 を使用すれば、機種依存文字という問題を気にする必要はほとんどありませんが、まだ一般的には、ISO-2022-JP を使用してメールを送る方が多いと思います。ただ、PHP の mb_send_mail() では、いわゆる半角カタカナや、機種依存文字を送信することはできません。これらの文字は '?' に変換されます。 PHP 5.2.1 からは、レガシーエンコーディングの追加として、ISO-2022-JP-MS というエンコーディングが追加されました。ISO-2022-JP-MS を使用すれば、このエンコーディングでサポートされている文字を送信することができます。ISO-2022-JP-MS については、[PHP-dev 1345] PHP

テクノロジー
2009/11/04 14:52

指定日の unixtime を求める方法 - t_komuraの日記

7 users

t-komura.hatenadiary.org

id:hnw さんの日記に以下のような投稿がありましたので、反応してみます。特定の日時のunixtimeが知りたくなった時って皆さんどうしてますか？例えば2009/09/26 23:00:00 JSTであれば次のワンライナーで求められます。 $ php -r 'echo mktime(23,0,0,9,26,2009);' 1253973600 http://d.hatena.ne.jp/hnw/20090926 個人的は、普通に strtotime() を使う気がします。引数で悩む必要がありません。 php -r 'var_dump( strtotime( "2009-09-26 23:00:00" ) );' int(1253973600)最近の PHP では、DateTime クラスを使用した方が良いかもしれません。こちらは、strtotime() や mktime() よりも広い

テクノロジー
2009/09/28 00:06

プライベートメソッドに対するテスト方法 - t_komuraの日記

22 users

t-komura.hatenadiary.org

phpunit などを使って PHP スクリプトをテストする時に、プライベートメソッドをテストしたくなる時があると思いますが、PHP では結構難しいように思います。 PHP でプライベートメソッドをテストする方法として、思い付くのは以下の方法くらいでしょうか。パブリックメソッドからプライベートメソッドを完全にテストできるように工夫するプライベートメソッドのテスト用にパブリックメソッドのラッパーを作成しておくテスト時のみ、テストしたいプライベートメソッドの Private を Public に書き換える Runkit などを使って定義を変更する 1. が実現できれば問題ないのですが、全てがうまくいくようにパブリックメソッドを作成するのは困難だと思います。また、テストのためだけにメソッドを増やしたり、変更したくないため、2. と 3. はあまりやりたくありません。4. であればできそうな

テクノロジー
2009/08/09 03:52

PHP 5.3.0 への移行で脆弱な Web アプリケーションが発生する？ - t_komuraの日記

6 users

t-komura.hatenadiary.org

PHP6移行で増える脆弱なWebアプリ(yohgaki's blog) を読んで、結構気になったので、調べてみました。調べてみた結果、私には特に問題となるような箇所は見つけられませんでした。調べたことについてメモしておきます。問題 PHP6移行で増える脆弱なWebアプリ(yohgaki's blog) で、PHP 6 への移行で脆弱な Web アプリケーションが発生すると指摘されています。その理由として、以下の2点が挙げられています。 mb_check_encodingで全ての入力文字エンコーディングが正しいかチェックしていない PHP6のhtmlentities/htmlspecialcharにはマルチバイト文字チェックコードが削除される http://blog.ohgaki.net/php6-web さらに、PHP 5.3 でも問題があると書かれています。追記：PHP5.3のコード

テクノロジー
2009/07/20 09:58

php
security

mb_detect_encoding() は文字コードの妥当性検証として使用できるか(その3)

8 users

t-komura.hatenadiary.org

遅くなりましたが、以下の続きです。 mb_detect_encoding() は文字コード判定として使用できるか(その1)) mb_detect_encoding() は文字コード判定として使用できるか(その2)) 今回は ISO-2022-JP、ISO-2022-JP-MS、UTF-16、UTF-16BE、UTF-16LE について、mb_check_encoding() と mb_detect_encoding() を比較しました。調査した PHP のバージョンは、5.2.9 で、前々回(mb_detect_encoding() は文字コード判定として使用できるか(その1))の Patch を適用したもので調査しました。通常の PHP の結果とは一致しません。間違いを発見した方はコメントなどでご指摘ください。 ISO-2022-JP 正規表現 mb_detect_encoding()

テクノロジー
2009/07/05 23:59

php

php 5.2.9 で array_unique() のデフォルトの挙動が変更 - t_komuraの日記

5 users

t-komura.hatenadiary.org

PHP 5.2.9 がリリースされましたが、少し気になったのでメモしておきます。 array_unique() の挙動が変更されています。array_unique() に第2引数(sort_flag)が追加され、ソート方法が指定できるようになりました。以下のようにデフォルトが SORT_REGULAR になっていますので、これまでのバージョンとは挙動が変わります。 Added optional sorting type flag parameter to array_unique(). Default is SORT_REGULAR. (Andrei) PHP 5.2.9 Release Announcement 配列に複数の型が存在する、または、配列にオブジェクトが存在する場合、意図しない結果になる場合があります。前バージョンとの互換性を保つには、第2引数に SORT_STRING

テクノロジー
2009/03/02 17:54

php

PHP 4.4.9 で修正されていない mbstring 関連のバグをまとめてみました - t_komuraの日記

8 users

t-komura.hatenadiary.org

リストに5項目(5.〜9.)を追加しました(2008.11.09)。 2008.08.08 に PHP4 系の最終版である PHP 4.4.9 がリリースされました。今後は、PHP 4.x はリリースされることはなく、最新の PHP 5.x に移行することが推奨されています。同じ日にあった PHP4 送別会に参加してきたのですが、アンケートでは、まだ PHP 4.x を使い続ける方が多いようです。 http://d.hatena.ne.jp/kunit/20080808#1218207026 http://d.hatena.ne.jp/shimooka/20080809/1218285498 だからという訳ではないのですが、PHP 4.4.9 でどのくらい mbstring 関連の既知のバグが修正されずに残っているのか気になりましたので、比較的重要だと思われるバグを知っている範囲でまとめ

テクノロジー
2008/08/12 13:18

PostgreSQL 使用時の文字列のエスケープ回避問題 - t_komuraの日記

3 users

t-komura.hatenadiary.org

2006.03.06 追記この問題については、iakio日誌(2006-02-15)において、PHP スクリプトで回避する方法の例と、PostgreSQL に Patch を当てて回避する方法を示しておられます。問題の影響を受ける場合は参考にすると良いと思います。 1月22日に書いた、addslashes() による SQL 文字列のエスケープ回避問題の続きです。PostgreSQL でさらに検証してみました。結論としては、前回と同様ですが、PostgreSQL に関しては、SJIS は使用しない方が安全という事になります。クライアントの文字コードとして、SJIS を使用している場合、addslashes() によるエスケープは既に指摘されている通りですが、PostgreSQL 用の文字列エスケープ関数である、pg_escape_string() を使用している場合でも問題があります

テクノロジー
2006/02/20 21:46

PATH_INFO を特定のスクリプトに渡す方法 - t_komuraの日記

3 users

t-komura.hatenadiary.org

少し前になりますが、[PHP-users 28031] PATH_INFOについてというメールが気になったので調べてみました。 mod_rewrite を使用すれば簡単ですが、それ以外の方法でも一応、可能のようでしたので、メモしておきます。Apache 1.3.34 で確認しました。 mod_mime と mod_actions が必要ですが、Apache をコンパイルすれば標準で有効になっています。今ごろメーリングリストに出すのも遅すぎるように思いますので、こちらに書いておきます。質問は以下の通りです。 PATH_INFOにてドメイン直下の値を取得したいのですが、通常の方法では実現できませんでしたので、方法をご存知の方どうぞよろしくお願いします。便宜上pathinfo.phpというファイルにて$_SERVER['PATH_INFO']が記述されているとします。 http://x

テクノロジー
2006/02/13 00:06

メモ
web