Dangerous Function: Unsafe Regular Expression

絕不能使用無法安全使用的函數。

某些函數無論使用方法為何，都有危險性。這一類函數的執行通常都沒有經過安全方面的考量。

範例 1：‎根據 URL http://www.example.com/index.php?param=...，以下在 index.php 中的 php 片段會將 URL 參數 param (以取代「...」的方式傳遞) 的值列印至畫面，只要其符合代表「零或多個英數字元」的 POSIX 一般表示式 '^[[:alnum:]]*$'：

  <?php
    $pattern = '^[[:alnum:]]*$';
    $string = $_GET['param'];
    if (ereg($pattern, $string)) {
      echo($string);
    }
  ?>

雖然 Example 1 會按照英數輸入如期操作，但是因為不安全的 ereg() 函數會用於驗證受感染的輸入，所以還是可能會透過 null 位元組執行 Cross-site scripting (XSS) 攻擊。藉由傳遞 param 的值，其中包含有效的英數字串，後面依序接著 null 位元組與 <script> 標籤 (例如 "Hello123%00<script>alert("XSS")</script>")，ereg($pattern, $string) 依然會傳回 true，因為 ereg() 函數在讀取輸入字串 (由左到右) 時，會忽略接在 null 位元組字元後面的任何內容。在此範例中，這表示接在 null 位元組後面注入的 <script> 標籤，將會顯示給使用者並接受評估。