正規表現って、人類にはまだ早かったのかな

セキュリティ昔話。

Transcript

1. 正規表現って、 人類にはまだ早かったのかな。 @ymzkei5
2. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。
3. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 イメージ図
4. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 イメージ図 ※215.1.1.1 は説明のた めに入力した無関係な IPアドレスです。
5. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 • おじいさんが、スキャンをしようとIPアドレスを入れたら、
6. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 • おじいさんが、スキャンをしようとIPアドレスを入れたら、 「無効なIPアドレス」
7. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 • おじいさんが、スキャンをしようとIPアドレスを入れたら、 「無効なIPアドレス」 イメージ図 ※216.1.1.1 は説明のた めに入力した無関係な IPアドレスです。
8. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 • おじいさんが、スキャンをしようとIPアドレスを入れたら、 「無効なIPアドレス」 • はて？ 困ったのぉ。IPアドレスは合っているはずじゃが。。
9. Ｑ • 昔々、あるところに、Ｑという有名なセキュリティスキャナが あったそうな。 • おじいさんが、スキャンをしようとIPアドレスを入れたら、 「無効なIPアドレス」 • はて？ 困ったのぉ。IPアドレスは合っているはずじゃが。。 • 通信をプロキシで改ざんすると登録できるんじゃが、、怖い、、
10. おじいさん調べ 有効となるIPアドレス • 1.1.1.1 • 11.11.11.11 • 111.111.111.111 • 222.222.222.222 • 255.255.255.255 • 205.1.1.1 • 215.1.1.1 無効となるIPアドレス • 206.1.1.1 • 207.1.1.1 • 209.1.1.1 • 216.1.1.1 • 226.1.1.1 • 236.1.1.1 • 246.1.1.1 ※ すべて例示のための、無関係なIPアドレスです。
11. おじいさん調べ 有効となるIPアドレス • 1.1.1.1 • 11.11.11.11 • 111.111.111.111 • 222.222.222.222 • 255.255.255.255 • 205.1.1.1 • 215.1.1.1 無効となるIPアドレス • 206.1.1.1 • 207.1.1.1 • 209.1.1.1 • 216.1.1.1 • 226.1.1.1 • 236.1.1.1 • 246.1.1.1 ※ すべて例示のための、無関係なIPアドレスです。
12. 妥当性チェックがバグってない？ • 「無効なIPアドレス」エラーが表示される時、特に通信が発生 している様子は無い。 • JavaScript の DOM変化に Break 設定をして追ってみる。
13. 犯人はオマエダ • 見つけた。 ipV4AllIp: function() { Ext.apply(Ext.form.VTypes, { ipv4AllIpValue: /^([0-9][0-9]{0,1}|1[0-9][0-9]|2[0-5][0-5])([.]([1-9]{0,1}[0-9]|1[0- 9]{2}|2[0-4][0-9]|25[0-5])){2}[.](0|[1-9][0-9]{0,1}|1[0-9]{2}|2[0-4][0-9]|25[0-5])$/, ipv4AllIpText: $L(" 何 – 見 – て – ん – だよ ", "Must be a numeric IPv4 address"), ipv4Mask: /[¥d¥.]/, ipV4AllIp: function(A) { return Ext.form.VTypes.ipv4AllIpValue.test(A) } });
14. 犯人はオマエダ • 見つけた。 ipV4AllIp: function() { Ext.apply(Ext.form.VTypes, { ipv4AllIpValue: /^([0-9][0-9]{0,1}|1[0-9][0-9]|2[0-5][0-5])([.]([1-9]{0,1}[0-9]|1[0- 9]{2}|2[0-4][0-9]|25[0-5])){2}[.](0|[1-9][0-9]{0,1}|1[0-9]{2}|2[0-4][0-9]|25[0-5])$/, ipv4AllIpText: $L(" 何 – 見 – て – ん – だよ ", "Must be a numeric IPv4 address"), ipv4Mask: /[¥d¥.]/, ipV4AllIp: function(A) { return Ext.form.VTypes.ipv4AllIpValue.test(A) } });
15. 犯人はオマエダ • 見つけた。 ipV4AllIp: function() { Ext.apply(Ext.form.VTypes, { ipv4AllIpValue: /^([0-9][0-9]{0,1}|1[0-9][0-9]|2[0-5][0-5])([.]([1-9]{0,1}[0-9]|1[0- 9]{2}|2[0-4][0-9]|25[0-5])){2}[.](0|[1-9][0-9]{0,1}|1[0-9]{2}|2[0-4][0-9]|25[0-5])$/, ipv4AllIpText: $L(" 何 – 見 – て – ん – だよ ", "Must be a numeric IPv4 address"), ipv4Mask: /[¥d¥.]/, ipV4AllIp: function(A) { return Ext.form.VTypes.ipv4AllIpValue.test(A) } }); お分かりいただけただろうか
16. 犯人はオマエダ • 見つけた。 ipV4AllIp: function() { Ext.apply(Ext.form.VTypes, { ipv4AllIpValue: /^([0-9][0-9]{0,1}|1[0-9][0-9]|2[0-5][0-5])([.]([1-9]{0,1}[0-9]|1[0- 9]{2}|2[0-4][0-9]|25[0-5])){2}[.](0|[1-9][0-9]{0,1}|1[0-9]{2}|2[0-4][0-9]|25[0-5])$/, ipv4AllIpText: $L(" 何 – 見 – て – ん – だよ ", "Must be a numeric IPv4 address"), ipv4Mask: /[¥d¥.]/, ipV4AllIp: function(A) { return Ext.form.VTypes.ipv4AllIpValue.test(A) } }); 2[0-5][0-5] で 200～255 の意味・・・って、んなわけあるかーい
17. 犯人はオマエダ • 見つけた。 ipV4AllIp: function() { Ext.apply(Ext.form.VTypes, { ipv4AllIpValue: /^([0-9][0-9]{0,1}|1[0-9][0-9]|2[0-5][0-5])([.]([1-9]{0,1}[0-9]|1[0- 9]{2}|2[0-4][0-9]|25[0-5])){2}[.](0|[1-9][0-9]{0,1}|1[0-9]{2}|2[0-4][0-9]|25[0-5])$/, ipv4AllIpText: $L(" 何 – 見 – て – ん – だよ ", "Must be a numeric IPv4 address"), ipv4Mask: /[¥d¥.]/, ipV4AllIp: function(A) { return Ext.form.VTypes.ipv4AllIpValue.test(A) } }); 後ろの方はあってるのに、どうして・・・
18. まとめ • 正規表現は、有名製品を開発するような、トップクラスの セキュリティエンジニアにもまだ早かった。 • 昔々と書いたけど、実は今日のことだった。時は2020年！ オレノジカンヲカエセ !!! • 油断大敵。だね。