正規表現でのURLのチェックとバイパス | 技術者ブログ | 三井物産セキュアディレクション株式会社

最近はMBSDでWebアプリケーションスキャナの開発をしている寺田です。 Webアプリケーションを開発していると、セキュリティの観点でURLをチェックしなければならないことがしばしばあります。本日の記事では、そのようなURLのチェックを如何に行うか、正規表現を使う場合の注意点や、バイパス方法などについて書きたいと思います。 本記事で想定するのは、ブラウザからパラメータとして来るURLをチェックしてリダイレクトやリンクのURL等として使ったり、ブラウザから来たOriginヘッダ等のURLをチェックしてアクセス制御をするケースです。その中でも、以下のようにサブドメイン部分（★の部分）を可変にする状況を主に想定します。 https://★.example.jp/… よく使われてそうなチェック用の正規表現と、そのバイパスは以下のとおりです。 正規表現: ^https://.+\.example\.

[kogule]

こういうチェックを正規表現で行うこと自体を批判すべきじゃないかな？　今どきパーサジェネレータは簡単に手に入るだろうし，正規表現を使う理由が判らない。

[otchy210]

URL (とメアド)のバリデーションに正規表現使うな定期。ライブラリの弱点にも言及してるが正規表現の脆弱さに比べたら全然。"\" なんか悪さする奴しか使わないんだから気になるなら一律弾けばよかろうよ。

[dorapon2000]

“Rubyのようにデフォルトでマルチラインフラグが有効になっている処理系では注意が必要です。常に文頭/文末にマッチする「\A」「\z」が使える処理系では、それを使うのがよいでしょう。”

[Aodrey]

文頭/文末の表現忘れがち

[hatomugicha]

正規表現は頭が痛い

[daira4000]

結構知らないバイパスあるな… / ↑ライブラリは擦り抜けがあるって書いてるけど

[tmatsuu]

やってしまいがち。気をつけようね。