怎么使用Regexploit识别ReDoS正则表达式拒绝服务攻击-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!

QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > CC防护 > 怎么使用Regexploit识别ReDoS正则表达式拒绝服务攻击

怎么使用Regexploit识别ReDoS正则表达式拒绝服务攻击

小墨安全管家 2021-09-07 07:14 CC防护 89 ℃
DDoS防御
工具使用

1. 正则表达式处理

$ regexploit 

(4) C#(.NET)

Repeated character: [5f:_] 

 

或者直截了当处理正则表达式列表文件:

工具使用样例

运行Regexploit,并在命令行中输入正则表达式“v\w*_\w*_\w*$”:

regexploit-csharp something.cs 

最坏事情复杂性

最坏事情复杂性反映了正则表达式匹配器的回溯过程相关于输入字符串长度的复杂性。那个最坏事情复杂性是以立方计算的,假如字符串的易受攻击部分的长度增加了一倍,CC防御,则执行时刻应延长约8倍(2^3)。

对于Regexploit

Regexploit能够关心宽敞研究人员找出易受正则表达式拒绝服务攻击(ReDoS)的正则表达式。

寻觅易受正则表达式拒绝服务攻击(ReDoS)的正则表达式;

Final character to cause backtracking: [^WORD] 

pip install regexploit 

很多默认正则表达式解析器都特别复杂,CC防御,而且存在特别多安全咨询题。当显示匹配的输入字符串时,使用正则表达式匹配的方式大概速度会特别快,然而某些不匹配的输入字符串大概会使正则表达式匹配器进入疯狂的回溯循环,同时需要花费特别长时刻来处理。此刻,将有大概导致应用程序浮上拒绝服务的事情,因为CPU在尝试匹配正则表达式时会卡住。

regexploit-py my-project/ 

如何使用Regexploit识别ReDoS正则表达式拒绝服务攻击

source .env/bin/activate 

 

 

(3) JSON/YAML

该功能将使用regexploit/bin/javascript中捆绑的NodeJS包实现,DDoS防御,并解析JavaScript中的正则表达式:

工具安装

该工具需要在本地安装并配置好Python 3.8+环境。由于Regexploit会从JavaScript/TypeScript代码中提取正则表达式,所以还需要安装好NodeJS 12+。

此刻,Regexploit将返回评估结果。

 

2. 自动提取正则表达式

 

YAML支持需要安装pyyaml,我们能够使用命令“pip install regexploit[yaml]”举行安装:

regexploit 

regexploit-yaml *.yaml 

v\w*_\w*_\w*$ 

 

该工具的要紧目的如下:

Example: 'v' + '_' * 3456 + '!' 

 

经过AST解析Python代码(无需执行)并提取正则表达式,并分析是否易受ReDoS:

Worst-case complexity: 3 ⭐⭐⭐ (cubic) 

项目地址

Regexploit:【GitHub传送门】

regexploit-js my-module/my-file.js another/file.js some/folder/ 

(2) Javascript / Typescript

 

python3 -m venv .env 

(1) Python代码

首先,我们能够创建一具虚拟环境:

regexploit-py "my-project/**/*.py" --glob 

给出一具会导致死循环回溯的恶意字符串示例;

Pattern: v\w*_\w*_\w*$ 

Regexploit内置支持解析Python、JavaScript、TypeScript、C#、YAML和JSON代码中的正则表达式。

regexploit-json *.json 

 

 

cat myregexes.txt | regexploit 

regexploit-js "my-project/node_modules/**/*.js" --glob 

我们能够经过stdin(每个正则表达式占一行)向Regexploit输入正则表达式:

--- 

 

接着使用pip来安装Regexploit:

,CC防御


DDoS防御

当前位置:主页 > CC防护 > 怎么使用Regexploit识别ReDoS正则表达式拒绝服务攻击

猜你喜欢

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119