Regexp 安全性速查表 --- 由 ScanFactory 赞助 - 该平台使用 16 个最受信任的安全检测技术来监控外部攻击面。
Regexp 安全性速查表 --- 由 ScanFactory 赞助 - 该平台使用 16 个最受信任的安全检测技术来监控外部攻击面。
为了找到 Web 应用程序防火墙 (WAF) 正则表达式中的"弱点",进行了研究。 存储库包含 SAST,可帮助您在自己的项目中查找自定义正则表达式中的安全漏洞。 欢迎大家的贡献。 此仓库最初是在 BlackHat USA 2016 会议上展示的 - PDF
^ (可选: \A) 和 $ (可选: \Z) 符号,它们是字符串开始和结束的元字符。通过在正则表达式前或后插入任何符号来绕过正则表达式是可能的。|(^a|a$) | %20a%20|2|正则表达式应区分大小写: (?i: 或 /regex/i。使用大写或小写字母来绕过正则表达式是可能的。Modsecurity 变换命令 (在应用正则表达式模式之前应用于字符串) 也可以包括在测试中,以覆盖更多的正则表达式。|http | hTtP|3|如果未(全局)指定修饰符 /m，正则表达式应避免使用点 . 符号，这意味着除了换行符 \n 以外的所有符号。通过 换行注入 来绕过正则表达式是可能的。|a.*b | a%0Ab|4|正则表达式不应易受 ReDoS 攻击。OWASP ReDoS 文章 1. 查找各种邪恶模式。2. 使用例如“SDL 正则表达式生成器”生成邪恶字符串。|(a+)+ | aaaaaaaaaaaaaaaaaaa!|5|集合或组 {} 的重复次数应谨慎使用，因为可以通过降低或增加指定的数量来绕过此限制。|a{1,5} | aaaaaaa (6 次)|6|非标准范围 (几乎所有内容)暂无开放 Issues，或尚未同步最近议题。