我应该担心 ReDOS 攻击吗？答案

【问题标题】：Should I be worried about a ReDOS attack?我应该担心 ReDOS 攻击吗？
【发布时间】：2011-11-23 00:09:44
【问题描述】：

下面的代码可以用来ReDOS攻击我的网站吗？

还是会在超过max_execution_time 时结束，还是过去的问题？

我使用以下代码验证我网站上的电子邮件地址（Douglas Lovell）：

function validate_email($email)
{
   $isValid = true;
   $atIndex = strrpos($email, "@");
   if (is_bool($atIndex) && !$atIndex)
   {
      $isValid = false;
   } else {
      $domain = substr($email, $atIndex+1);
      $local = substr($email, 0, $atIndex);
      $localLen = strlen($local);
      $domainLen = strlen($domain);
      if ($localLen < 1 || $localLen > 64)
      {
         // local part length exceeded
         $isValid = false;
      }
      else if ($domainLen < 1 || $domainLen > 255)
      {
         // domain part length exceeded
         $isValid = false;
      }
      else if ($local[0] == '.' || $local[$localLen-1] == '.')
      {
         // local part starts or ends with '.'
         $isValid = false;
      }
      else if (preg_match('/\\.\\./', $local))
      {
         // local part has two consecutive dots
         $isValid = false;
      }
      else if (!preg_match('/^[A-Za-z0-9\\-\\.]+$/', $domain))
      {
         // character not valid in domain part
         $isValid = false;
      }
      else if (preg_match('/\\.\\./', $domain))
      {
         // domain part has two consecutive dots
         $isValid = false;
      }
      else if(!preg_match('/^(\\\\.|[A-Za-z0-9!#%&`_=\\/$\'*+?^{}|~.-])+$/', str_replace("\\\\","",$local))) {
         // character not valid in local part unless
         // local part is quoted
         if (!preg_match('/^"(\\\\"|[^"])+"$/', str_replace("\\\\","",$local))) {
            $isValid = false;
         }
      }
      if ($isValid && !(checkdnsrr($domain,"MX") || checkdnsrr($domain,"A")))
      {
         // domain not found in DNS
         $isValid = false;
      }
   }

   return $isValid;
}

【问题讨论】：

看起来有点像你在这里找到的：linuxjournal.com/article/9585?page=0,3
@Jared Farrish 以及如何使它对 ReDOS 免疫？
@Rook - Look here 在代码块正上方的行中。 ;)

标签： php security

【解决方案1】：

您在此处使用的正则表达式都没有可能导致运行时间过长的行为。

但是，从名称来看，checkdnsrr() 可能需要一段时间，如果域的名称服务器没有响应。确保它有一个合理的超时。

【讨论】：