キャッシュによるRubyの正規表現のマッチングの高速化の紹介 - クックパッド開発者ブログ

2022/12/12 17 users Ruby マッチング キャッシュ 正規表現 マッチン

9月からRuby開発チームにインターンシップとして参加している@makenowjustです。 総合研究大学院大学の学生で、普段は情報セキュリティに関する研究をしています。 インターンシップでは、キャッシュ (メモ化) を利用したRubyの正規表現の高速化を行いました。 ReDoSと呼ばれる、バックトラックが爆発することでマッチン... 続きを読む

ReDoS 検出の最先端 recheck の紹介 / State of the Art of ReDoS Detection

2022/03/04 80 users 検出 最先端 紹介

Transcript ϠόΠɻ 3F%P4�ϠόΠɻ ·͡ͰϠόΠΑɺϚδϠόΠɻ ϠόΠɻӉ஦ϠόΠɻ·͡ͰϠόΠΑɺϚδϠόΠɻ 
 Ӊ஦ϠόΠɻ 
 ·ͣ޿͍ɻ΋͏޿͍ͳΜͯ΋Μ͡Όͳ͍ɻ௒޿͍ɻ 
 ޿͍ͱ͔ͬͯ΋ 
 ʮ౦ژυʔϜ��ݸͿΜ͘Β͍ʁʯ ͱ͔ɺ΋͏ɺͦ͏͍͏Ϩϕϧ͡Όͳ͍ɻ 
 Կ͠ΖແݶɻεήΣʂͳΜ͔୯Ґͱ͔ແ͍ͷɻԿ௶ͱ͔Կᶨͱ͔Λ௒ӽͯ͠Δɻແݶͩ͠௒޿͍ɻ 
 ͔͠΋๲ுͯ͠ΔΒ͍͠ɻϠόΠΑɺ๲ுͩΑɻ 
 ͩͬͯී௨͸஍ٿͱ͔๲ு͠ͳ͍͡ΌΜɻͩͬͯࣗ෼ͷ෦԰ͷ࿓Լ͕ͩΜͩΜ৳ͼͯͬͨΒࠔΔ͡ΌΜɻτΠϨͱ͔௒ԕ͍ͱ͔ࠔΔ ͬ͠ΐɻ 
 ௨ֶ࿏͕৳ͼͯɺҰ೥ͷͱ͖͸ెา��෼ͩͬͨͷʹɺࡾ೥ͷͱ͖͸ࣗసंͰೋ࣌ؒͱ͔ٽͬ͘͠ΐɻ 
 ͔ͩΒ஍ٿͱ͔๲ு͠ͳ͍ɻ࿩ͷΘ͔ΔϠπͩɻ 
 ͚ͲӉ஦͸ϠόΠɻͦΜͳͷؾʹ͠ͳ͍ɻ๲ு͠·͘Γɻ࠷΋ԕ͔͘Β౸ୡ͢ 続きを読む

正規表現の脆弱性 (ReDoS) を JavaScript で学ぶ

2022/02/18 404 users Repeat test console.timeEnd 反響

先日、このようなツイートを書いたところ、かなりの反響がありました。 JavaScript の正規表現の脆弱性の例でいうと、例えば /\s+$/ は脆弱性があると言える console.time(); /\s+$/.test(" ".repeat(65536) + "a"); console.timeEnd(); 結構時間がかかるのがわかる。でも /\s+$/ を見て「これは危険だな」と理解出来る... 続きを読む

20日目: 正規表現が ReDoS 脆弱になる 3 つの経験則

2021/12/21 13 users テキトー 文字列マッチング 原因 対策 多く

はじめに 皆さんこんにちは．3回生のらん（@hoshina350）です． 文字列マッチングに便利な正規表現ですが，テキトーに書くと脆弱になり得るという情報を耳にしてから色々と原因や対策を調べていました． しかし，多くの記事で紹介されていた対策方法は，「独自の正規表現を使用しないー」とか「 * や + などの繰り返し表... 続きを読む

正規表現でのメールアドレスチェックは見直すべき – ReDoS | yohgaki's blog

2017/01/24 167 users StackExchange エントリ Ruby 指数 結論

(更新日: 2016/10/19) 前のエントリで StackExchangeがReDoSで攻撃されサイトがダウンした問題 を紹介しました。少しだけ掘り下げて見たところ、正規表現だけでメールアドレスをチェックしている場合、壊滅的なReDoS（十分短い文字列で指数関数的に実行時間が増加する）が可能なことが判りました。 結論を書くと、正規表現でのメールアドレスチェックは見直すべき、です。（特にRuby... 続きを読む