《Java安全编码标准》一2.5　IDS04-J限制传递给ZipInputStream的文件大小

2.5　IDS04-J限制传递给ZipInputStream的文件大小

通过对java.util.ZipInputStream的输入进行检查，可以防止消耗过多的系统资源。当资源使用大大多于输入数据所使用的资源的时候，就会出现拒绝服务问题。当需要解压一个小文件，比如zip、gif或者gzip编码的HTTP内容，会消耗过多的资源时，并且在压缩率极高的情况下，Zip算法的实现本身就会导致zip炸弹（zip bomb）的出现。zip算法能产生很高的压缩比率?[Mahmoud 2002]。 图2-1显示了一个文件可以从148MB压缩到590KB，压缩比率高达200:1。这个文件包含了多次出现的重复数据，比如交替出现的字符a和b。如果输入数据符合压缩算法的要求，或者可以使用更多的输入数据，或者可以使用其他的压缩方法，甚至还能达到更高的压缩比例。

在zip文件中的任何数据，如果其解压后的文件大小超出了一个特定的限制，那么就不应该将它们解压。而这个限制实际上取决于平台的能力。这条规则是更普遍的规则MSC07-J的一个特例。

2.5.1 不符合规则的代码示例

下面是一个不符合规则的代码示例，它不能检查解压一个文件时所消耗的资源。它会允许操作完成，或者直至本地资源耗尽为止。static final int BUFFER = 512;

// ... // external data source: filename BufferedOutputStream dest = null; FileInputStream fis = new FileInputStream(filename); ZipInputStream zis = new ZipInputStream(new BufferedInputStream(fis)); ZipEntry entry; while ((entry = zis.getNextEntry()) != null) { ??System.out.println("Extracting: " + entry); ??int count; ??byte data[] = new byte[BUFFER]; ??// write the files to the disk ??FileOutputStream fos = new FileOutputStream(entry.getName()); ??dest = new BufferedOutputStream(fos, BUFFER); ??while ((count = zis.read(data, 0, BUFFER)) != -1) { ????dest.write(data, 0, count); ??} ??dest.flush(); ??dest.close(); } zis.close();

2.5.2　符合规则的方案

在这个方案中， while循环中的代码会通过使用ZipEntry.getSize()方法在解压之前，得到zip文档中需解压文件的大小。如果该解压文件过大，比如说超过100MB，那么抛出异常。

static final int TOOBIG = 0x6400000; // 100MB ??// ... ??// write the files to the disk, but only if file is not insanely big ??if (entry.getSize() > TOOBIG) { ????throw new IllegalStateException("File to be unzipped is huge."); ??} ??if (entry.getSize() == -1) { ????throw new IllegalStateException( ????????????????"File to be unzipped might be huge."); ??} ??FileOutputStream fos = new FileOutputStream(entry.getName()); ??dest = new BufferedOutputStream(fos, BUFFER); ??while ((count = zis.read(data, 0, BUFFER)) != -1) { ????dest.write(data, 0, count); ??}

2.5.3　风险评估

2.5.4　相关规范

2.5.5　参考书目

相关资源：java 支持中文解压：一行代码解决 java.util.zip.ZipInputStream 中文乱码；--文件处理通用类