JavaScript Web 应用程序和服务器易受 ReDoS 攻击

  JavaScript Web 应用程序和 Web 服务器容易受到称为正则表达式（regex）拒绝服务（ReDoS）的特定类型的漏洞/攻击。当攻击者将大量复杂的文本发送到基于 JavaScript 的 Web 服务器或应用程序的开放输入时，就会发生这些漏洞。

如果服务器组件或应用程序库不是专门设计用于处理各种边缘情况，则攻击者的输入最终会一次阻止整个应用程序或服务器几秒钟或几分钟，而服务器会分析并模式匹配输入。

各种编程语言和 Web 服务器技术在模式匹配操作和 ReDoS 攻击的性能方面存在类似的问题，由于大多数 JavaScript 服务器的单线程执行模型，每个请求都由同一个线程处理，因此在 JavaScript 的情况下它们被夸大了。

2017 年发布的后续研究显示，Node.js 库和应用程序中发现的漏洞总数中有 5％ 是 ReDoS 漏洞。在上周的一次安全会议上，ReDoS 问题由于多年未得到解决，在 JavaScript 社区引起重视。来自德国达姆施塔特技术大学（Technical University in Darmstadt, Germany）的两名学者 Cristian-Alexandru Staicu 和 Michael Pradel 表示，他们在流行的 Node.js 模块中发现了 25 个以前未知的漏洞。

Staicu 和 Pradel 说这些漏洞的主要原因是缺乏对正则表达式匹配性能的关注，因为大多数开发人员似乎都专注于准确性，在代码中留下了大量漏洞，攻击者可以使用 ReDoS 攻击来利用这些漏洞。

两人经过进一步研究，设计出了一种在实际网站上检测这些漏洞而无需实际使用 ReDoS 漏洞利用代码的方法。他们使用这种方法扫描 2,846 个流行的基于 Node.js 的站点，显示 339 个大约 12％ 的站点容易受到至少一个 ReDoS 漏洞的攻击。研究小组表示，“ReDoS 对这些网站的可用性构成严重威胁，我们会开发用于检测和缓解 JavaScript 中 ReDoS 漏洞的技术。”

新闻标题：JavaScript Web 应用程序和服务器易受 ReDoS 攻击
网站URL：http://www.shufengxianlan.com/qtweb/news49/328599.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联