ReDoS-محفوظ پیٹرن لکھنا

ReDoS (سروس کا باقاعدہ اظہار انکار) حملوں کی ایک کلاس ہے جہاں احتیاط سے تیار کیا گیا ان پٹ ریجیکس کے پھٹنے کا وقت بناتا ہے۔ جے ایس انجن بیک ٹریکنگ کا استعمال کرتا ہے: اگر کوئی پیٹرن "مبہم" ہے، ایک پر بدقسمت ان پٹ یہ کوششوں کی ایک کفایتی تعداد کو انجام دے سکتا ہے۔

کلاسک تباہ کن پیٹرن

Pattern: ^(a+)+$
Input:   "aaaaaaaaaaaaaaaaaaaaab"

میچ کرنے کے لیے، انجن "a" کے درمیان ہر ممکنہ تقسیم کی کوشش کرتا ہے۔ دو + کوانٹیفائر۔ 20 "a" پر یہ 2^20 = ~1 ملین کوششیں ہیں۔ 30 "a" پر، ایک ارب۔

دیگر خطرناک مثالیں:

• (a*)*b -- "گھوںسلا ستارے"۔
• (a|a)* -- اوور لیپنگ متبادل۔
• (\w+)+@ -- بیرونی مقدار کے ساتھ لالچی گروہ۔

خطرے کو کیسے پہچانا جائے۔

ان ڈھانچے کو تلاش کریں:

1. کوانٹیفائر کے اندر کوانٹیفائر: (...+)+، (...*)*، (...{n,})+۔
2. کوانٹیفائر کے تحت اوور لیپنگ متبادل: (a|ab)*، ​​(\w|\d)+۔
3. پیچیدہ متبادل کے ساتھ دیکھو/پیچھے کی طرف دیکھو بار بار۔

دفاعی دوبارہ لکھنا

Dangerous:  ^(\w+\s+)+$
Safe:       ^(?:\w+\s+)*\w+$

محفوظ ورژن **بیس کیس کو بار بار کیس سے الگ کرتا ہے، ہٹاتا ہے۔ ابہام دیگر تکنیک:

• مقابلہ کوانٹیفائر (a++) -- JS میں تعاون یافتہ نہیں، لیکن دوسرے انجنوں میں دستیاب ہیں۔
• ایٹمی پیٹرن ((?>...)) -- JS میں نہیں۔
• **مماثلت سے پہلے ان پٹ کی لمبائی کو محدود کریں۔
• میچنگ پر ٹائم آؤٹ (اس کورس کا ایڈیٹر 500 ایم ایس ٹائم آؤٹ کے ساتھ کارکن کا استعمال کرتا ہے)۔

ReDoS-محفوظ پیٹرن کے لیے سفارشات

1. اس بات کو یقینی بنائیں کہ متبادل کے اختیارات باہمی طور پر مخصوص ہیں (مثلاً (a|a+) استعمال نہ کریں)۔
2. اوور لیپنگ ایکسپریشنز (جیسے (\\s*)*) پر نیسٹڈ کوانٹیفائر لگانے سے گریز کریں۔
3. ہمیشہ عام وائلڈ کارڈ ڈاٹ (.*) پر مخصوص منفی کریکٹر کلاسز ([^\\n]*) کو ترجیح دیں۔

اسے آزمائیں

ورزش کا جائزہ لیں۔

اضافی چیلنج