README を良くする

[n4o847]

とりあえず、現状の

npm start

は動きません。

[masa5555]

ReDoS検出プログラム

このレポジトリは、
セキュリティ・キャンプ全国大会2020 オンライン　[Z-Ⅲ] ReDoSの検出プログラムの作成とOSSへの適用
にて作成したものです。

What is ReDoS ?

Regular expression Denial of Service - 脆弱な正規表現が原因で起こるDoS攻撃
例えば、/^(a|a)*$/や/^a*a*$/には、マッチング処理に文字列の大きさの指数時間や２乗時間かかるような攻撃文字列が存在する。
その処理によってサーバーに多大な負荷がかかってしまう可能性があるので、多大な負荷の原因となる正規表現を検出したい。

Demo

/*　攻撃文字列とサブマッチをMergeされたら、pages or ローカル実行のスクショ */

Usage

• ブラウザから個々の正規表現を確認する
• Eslintに組み込む?
  /* やり方を追記 */
• ローカルで動かす

~/$ git clone https://github.com/n4o847/seccamp-redos.git
~/$ cd seccamp-redos
~/seccamp-redos$ npm install
~/seccamp-redos$ npx ts-node src/test.ts

Dependency or Requirement

• npm

[masa5555]

まだ中途半端ですが、作ってみました。(あまりやったことがないので、これでいいのかわかりませんが)
あとはスライドのアルゴリズムの全容の図を乗せるのは見やすくて良さそうだと思いました。（ファイル構造がわかりやすい？）
まあ、スライドのリンクを貼るのが早いですかね

[n4o847]

ありがとうございます！

デモ載せるの良いですね。

[n4o847]

Usage 案です。

• ブラウザのやつを紹介するのであればブラウザから検出できる機能もほしいですね……
• このテストの使い方はテストとしていいのかみたいなところがありますね (テストを書く #36 で解決すべき問題ではある)
• ライブラリとしての使い方も載せたいです

---

Usage

ブラウザで確認する

ブラウザで正規表現から作られるオートマトンを確認できます。

https://n4o847.github.io/seccamp-redos/

ESLintプラグインとして使う

このツールをESLintプラグインとして使えるようにしたものが公開されています。

https://github.com/Neccolini/seccampZ3-linter

ライブラリとして使う

$ npm install n4o847/seccamp-redos

const redos = require('seccamp-redos');

const re = /(a|a)*/;
console.log(redos.detectReDoS(re.source, re.flags));
// { status: 'Vulnerable', message: 'Detected EDA.' }

ローカルで動かす

(同じ)