Scrierea modelelor sigure pentru ReDoS

ReDoS (Expresie regulată Denial of Service) este o clasă de atacuri în care o intrare atent concepută face ca timpul de potrivire al unei expresii regex să explodeze. Motorul JS folosește backtracking: dacă un model este „ambiguu”, pe un intrare ghinionoasă poate efectua un număr exponențial de încercări.

Modelul clasic catastrofal

Pattern: ^(a+)+$
Input:   "aaaaaaaaaaaaaaaaaaaaab"

Pentru a se potrivi, motorul încearcă toate partiții posibile de „a” între cei doi cuantificatori +. Pe 20 "a" înseamnă 2^20 = ~1 milion de încercări. Pe 30 de „a”, un miliard.

Alte exemple periculoase:

• (a*)*b -- „stele imbricate”.
• (a|a)* -- alternative care se suprapun.
• (\w+)+@ -- grupuri lacome cu un cuantificator exterior.

Cum să descoperi pericolul

Căutați aceste structuri:

1. Cuantificator în interiorul unui cuantificator: (...+)+, (...*)*, (...{n,})+.
2. Alternative suprapuse sub un cuantificator: (a|ab)*, (\w|\d)+.
3. Privire înainte/în urmă cu alternative complexe repetate.

Rescriere defensivă

Dangerous:  ^(\w+\s+)+$
Safe:       ^(?:\w+\s+)*\w+$

Versiunea sigură separă carcasa de bază de carcasa repetată, eliminând ambiguitatea. Alte tehnici:

• Cuantificatori posesivi (a++) -- nu sunt acceptate în JS, dar sunt disponibile în alte motoare.
• Modele atomice ((?>...)) -- nu în JS.
• Limitați lungimea de intrare înainte de potrivire.
• Timeout la potrivire (editorul acestui curs folosește un worker cu un timeout de 500 ms).

Recomandări pentru modele sigure pentru ReDoS

1. Asigurați-vă că opțiunile alternative se exclud reciproc (de exemplu, nu utilizați (a|a+)).
2. Evitați să aplicați cuantificatori imbricați expresiilor care se suprapun (de exemplu, (\\s*)*).
3. Preferați întotdeauna anumite clase de caractere negate ([^\\n]*) în detrimentul punctului generic cu wildcard (.*).

Încearcă

Exercițiu de revizuire

Provocare suplimentară