ジップ爆弾から身を守るにはどうすればいいですか？

私はちょうど約zip bombsを読んでいます。つまり、非常に大量の圧縮率の高いデータ（00000000000000000 ...）を含むzipファイルです。ジップ爆弾から身を守るにはどうすればいいですか？

開いたとき、彼らは、サーバーのディスクを埋めます。

ジップファイルを検出するには、の前にを解凍しますか？

UPDATEこれはPythonまたはJavaでどのように行われますか教えてください。

出典

2009-09-22 flybywire

圧縮率は1000から1のようにsmthにすることができます。ディスク容量を多く消費するだけでなく、出力を書き込むのに時間がかかります。 – sharptooth

[関連の質問gzipとbzip2]（http://stackoverflow.com/questions/13622706/how-to-protect-myself-from-a-gzip-or-bzip2-bomb）。 –

Pythonでこれを試してみてください：

ウィキペディアに説明の上に読み

import zipfile 
z = zipfile.ZipFile('c:/a_zip_file') 
print 'total files size=', sum(e.file_size for e in z.infolist()) 
z.close()

出典

2009-09-22 09:57:29

少なくともgzipを使ってください。圧縮されていないサイズがヘッダにないかもしれないと思います（したがって、zipでは動作するかもしれませんが.tar.gzでは動作しないかもしれません） – tonfa

@tonfa、zipfile doesn gnu zip形式を処理しません。 –

IIRC、Zip標準（DoSを引き起こしたい場合、必ず標準に準拠する予定です）では、特定のサイズをセントラルディレクトリとエントリヘッダーから削除することができます。 –

使用するデコンプレッサZIPを使用すると、そのデータを使用することができ、オリジナルと圧縮サイズのデータを提供することができます。それ以外の場合は、解凍を開始し、出力サイズを監視します。

出典

2009-09-22 09:38:53 sharptooth

最初のzipヘッダを確認してください:)

出典

2009-09-22 09:40:43

Nick Dandoulakisの回答でコメントを確認してください – n611x007

を使用すると、一時保管のためのシステムドライブを使用していないことを確認してください。ウイルススキャナが遭遇した場合、ウイルススキャナがそれをチェックするかどうかはわかりません。

また、あなたは、zipファイル内の情報を見て、コンテンツのリストを取得することができます。これを行うにはどのようにあなたがより多くの情報を提供する必要があるので、ファイルを抽出するために使用するユーティリティによって異なり、ここで

出典

2009-09-22 09:40:43

拒否圧縮ファイルを含む圧縮ファイル。
ZipFile.entries()を使用してファイルのリストを取得し、ZipEntry.getName()を使用してファイル拡張子を探します。
設定されたサイズを超えるファイルを含む圧縮ファイルを拒否するか、起動時にサイズを判断できません。
ファイルを反復処理しながら、ファイルサイズを取得するためにZipEntry.getSize()を使用しています。

出典

2009-09-22 09:58:04

アップロードプロセスがディスクのいっぱいになるほどのデータを書き込まないようにします。つまり、問題の原因の1つだけではなく、問題を解決します。

出典

2009-09-22 10:07:22

Zipは、ERM、 "面白い" 形式です。堅牢なソリューションは、データをストリーミングし、十分な時間が経過したら停止します。 Javaでは、ZipFileではなくZipInputStreamを使用してください。後者の場合は、データを一時的なファイルに保存する必要がありますが、これもまた最大のアイデアではありません。

出典

2009-09-22 10:50:22

ジップ爆弾から身を守るにはどうすればいいですか？

答えて

関連する問題