前不久，我们推荐了个正则表达式入门学习工具。正则表达式工具推荐（学习工具、测试工具） ，今天我们看下，正则表达式的性能测试工具。这里我们先说下，为什么需要这样的工具，这个工具有什么作用呢？ 为什么需要性能测试工具 我们都知道，正则表达式使用进行搜索查找，没有字符串直接查找快！而且性能是几何倍数下降。那么，为什么正则表达式速度会比字符串搜索慢呢。我们来看看，正则表达式查找字符串的匹配过程吧。正则表达式由一些元字符，普通字符，量词字符组合成。默认情况下，这些量词元字符（*,+,?)都是贪婪模式，会最大长度匹配字符串。我们知道，正则表达式往往搜索路径会有多个，我们看看，下面匹配过程。就知道，主要影响正则表...
阅读全文
继上几篇正则表达式相关说明（详情：正则表达式 )，我们今天继续讨论下，它的单行，多行模式使用，及容易出现错误地方。单行，多行模式，都是正则表达式的模式修饰符里面出现的参数。目前常用正则表达式都有该使用选项，如：javascript 正则表达式，一般是：”/正则表达式匹配字符/修饰符“ ，最后一个”/” 后面是修饰符。然后，php也是类似的，c#，python等，一般调用正则表达式的匹配函数，都有一个另外选项的，设置模式。 单行、多行模式容易出现理解错误 为什么说，容易出现理解错误呢，它们英文对应说明是：SingleLine ，MultiLine，刚好是单行、多行意思。因此，很多朋友就会从字面理解里面，得出以下结论：（哈哈、刚刚使用，我也是这些朋...
阅读全文
什么是正则表达式呢？ 正则表达式，又称正规表示法、常规表示法（英语：Regular Expression，在代码中常简写为regex、regexp或RE），它是计算机科学的一个概念。正则表达式使用单个字符串来描述、匹配一系列符合某个句法规则的字符串。几乎在各种计算机编程语言中都有用到。可以分为普通正则表达式、扩展正则表达式、高级正则表达式。普通正则表达式在linux shell中常用到，高级正则表达式语法规范，基本由perl演化而来。目前常见程序语言（php,perl,python,java,c#)都支持高级正则表达式。 我们为什么要学习正则表达式？ 高级程序语言的正则表达式几乎都从perl语言发展而来，因此，语法几乎一致。你学好了，一门正则...
阅读全文
接上一篇：正则表达式（regex)错误使用导致功能漏洞 ，我们继续梳理，正则表达式错误使用，导致功能设计漏洞（bug），做web方面，需要掌握的知识很多，网站开发这项工作，在国内也就10多年，很多开发人员，都是通过：培训(自学) ->模仿->做项目 ，这样一个过程。很多就是修修改改后，就成为了web开发工程师。这行入门低，很容易上手。但是想成为大师级的，还是很不容易。需要学习，掌握的知识几十门。而对于刚刚入门同人，很多时候因为缺乏系统学习，理论支持。导致提升有些心有余而力不足啦！因此，出现这些或多或少的功能设计漏洞，是很常见的！ 好了，有些跑题了，在做代码走查时候，这类漏洞也是时常出现。我们看下，下面代码： &...
阅读全文
写在前面的话 正则表达式它的强大字符串匹配功能，导致目前在各种程序语言中，都非常流行！它被用来描述或者匹配一系列符合某个句法规则的字符串。很多刚刚使用正则表达式都是从听说这个，然后在要使用时候去网上搜索。 很少人一开始就系统去学习正则表达式，从定义原理使用系统学习。因为，对应初学者觉得它太麻烦了，好多原字符。看到那么长一串字符，就很头痛。因此，也懒得去学习。一般遇到问题，直接去网上搜索。如：“邮箱正则表达式，手机号正则表达式，url正则表达式…..” ，我们发现一个很有意思现象，“怎么邮箱正则表达式可以各种各样，url正则表达式也不相同“，都出都在推荐，都说自己是正确的，到底那个是正确的呢？ 从各异的正则表...
阅读全文
最近工作中，时不时有用户输入自己真实姓名，然后申请银行提款时候，遇到一些特殊字符。而输入错误，提款失败！其中最多就是少数名字，姓名中的点字符。如：某某·李四，经常有人输入：某某.李四 或 某某・李四。其中：”·・” 这2个中间点很容易输入错误。都是中间点，一个大一个细。 那一个才是中文姓名中间点呢？ 作为技术开发人员，我们有办法知道，到底那个点才是中文中间分割点。因为，这些都是常见姓名字符，因此，我们只要检测下，这2个字符对应在gb2312字符集中，字符编码即可。对于计算机而言，无论多怪的字符，看起来还怎么像，其实计算机本质去区分，是按照字符在字符集中，对应编码（字符编码）来保存、传输的。 因此，...
阅读全文
这个问题很多做php开发朋友应该都有遇到过，一个启用了session_start 页面，由于执行时间过长。导致通一个用户访问，另外一个很简单的启用session_start页面一直阻塞着。 直到第一个页面执行完了。第二个页面就可以读取。这个就是，我们常说的，session阻塞机制。 我用file 存放用户session session默认以文件保存，当一个用户访问session_start页面后，这个时候，就会默认创建一个包含session_id文件名，并且这个时候，会对文件进行锁定。如果这个用户点击链接，又访问一个该站session_start网页。这是，由于session_id一样，这个页面也有读取锁定该用户存放session文件。 由于，第一个页面没有执行完，它一直锁定了该文件。 第2...
阅读全文
做web开发，我们经常会做代码走查，很多时候，我们都会抽查一些核心功能，或者常会出现漏洞的逻辑。随着技术团队的壮大，组员技术日益成熟。 常见傻瓜型SQL注入漏洞、以及XSS漏洞。会越来越少，但是我们也会发现一些新兴的隐蔽性漏洞偶尔会出现。这些漏洞，跟多来自开发人员，对一个函数、常见模块功能设计不足，遗留下的问题。以前我们能够完成一些功能模块，现在要求是要安全正确方法完成模块才行。 接下来，我会分享一些常见功能模块，由于设计原因导致漏洞出现。下面，我们先看下，读取文件型功能漏洞。 我们先看下下面一段代码，通过用户输入不同目录，包含不同文件 <?php
///读取模块名称
$mod = isset($_GET['m'])?trim($_GET['m']):'i...
阅读全文
最近工作中遇到个问题，就是有一些资源，不希望别人很派发的抓取，这样会占用我们带宽还有资源。因此，我们对页面访问做了频率限制。这样一来，又怕搜索蜘蛛给限制了。 因此，我们有个需求，就是除了常见搜索蜘蛛，其它都要做频率限制。 工作就变成了，首先我们怎么样正确表示搜索蜘蛛。 怎么样识别搜索蜘蛛 搜索引擎基本上由最先google,和国内的baidu统一了。刚开始比较混乱，后期有很多规则协议，可以遵循。基本上一些新兴的搜索引擎在访问站点时候，都会延用google制定的一些规则。它们一般都会有特定的user-agent，但是，如果我们只通过user-agent去识别搜索蜘蛛的话，那样第三方抓取程序，都会去伪造个user-agent。变成搜索...
阅读全文
看我上两篇，我们知道，上存漏洞常见有，文件名检测漏洞，还有就是文件格式检查漏洞。 另外还有个一个，就是保存文件存在漏洞。这类漏洞，主要是可以读取用户传入路径名称，采用不正确的过滤方法，导致恶意用户，将文件上存到非预期的地方，带来安全隐患。其实，我们抓住几个地方即可，我们先来分析下，既然用户要上存文件，而且文件将是多种多样格式；可能有的文件内容与用户传入格式不一致，有的文件内容还夹杂木马代码。 那么，我们让用户上存文件，跟站点文件做一个分别授权，做隔离。 让保存上存目录独立开来，目录权限只读不能执行这一步从系统设计加以授权，无论你上次什么文件，都不可能执行到。就算我不做任何检测，你的文件都上存到这...
阅读全文