JavaScript Web 应用程序和服务器易受 ReDoS 攻击-低调大师

JavaScript Web 应用程序和服务器易受 ReDoS 攻击

2018-08-22 781

JavaScript Web 应用程序和 Web 服务器容易受到称为正则表达式（regex）拒绝服务（ReDoS）的特定类型的漏洞/攻击。当攻击者将大量复杂的文本发送到基于 JavaScript 的 Web 服务器或应用程序的开放输入时，就会发生这些漏洞。

如果服务器组件或应用程序库不是专门设计用于处理各种边缘情况，则攻击者的输入最终会一次阻止整个应用程序或服务器几秒钟或几分钟，而服务器会分析并模式匹配输入。

各种编程语言和 Web 服务器技术在模式匹配操作和 ReDoS 攻击的性能方面存在类似的问题，由于大多数 JavaScript 服务器的单线程执行模型，每个请求都由同一个线程处理，因此在 JavaScript 的情况下它们被夸大了。

2017 年发布的后续研究显示，Node.js 库和应用程序中发现的漏洞总数中有 5％是 ReDoS 漏洞。在上周的一次安全会议上，ReDoS 问题由于多年未得到解决，在 JavaScript 社区引起重视。来自德国达姆施塔特技术大学（Technical University in Darmstadt, Germany）的两名学者 Cristian-Alexandru Staicu 和 Michael Pradel 表示，他们在流行的 Node.js 模块中发现了 25 个以前未知的漏洞。

Staicu 和 Pradel 说这些漏洞的主要原因是缺乏对正则表达式匹配性能的关注，因为大多数开发人员似乎都专注于准确性，在代码中留下了大量漏洞，攻击者可以使用 ReDoS 攻击来利用这些漏洞。

两人经过进一步研究，设计出了一种在实际网站上检测这些漏洞而无需实际使用 ReDoS 漏洞利用代码的方法。他们使用这种方法扫描 2,846 个流行的基于 Node.js 的站点，显示 339 个大约 12％的站点容易受到至少一个 ReDoS 漏洞的攻击。研究小组表示，“ReDoS 对这些网站的可用性构成严重威胁，我们会开发用于检测和缓解 JavaScript 中 ReDoS 漏洞的技术。”

编译自：BleepingComputer

微信关注我们

原文链接：https://www.oschina.net/news/99229/javascript-web-apps-and-servers-vulnerable-to-redos-attacks

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

JDK 11 已进入候选发布阶段，计划9月25日发布正式版

JDK 11 达成了新的里程碑：现已进入候选发布阶段。按照 JDK Release Process(JEP 3)，jdk/jdk11 稳定仓库目前对于 P1 错误修复是开放的。此外，JDK 11 将于9月份正式发布。 JDK 11 的发布进度正在按照预期进行 JDK 11 现在已处于候选发布阶段，按照 JDK Release Process(JEP 3)，jdk/jdk11稳定仓库对于 P1 错误修复是开放的。 JDK 11 的Rampdown 阶段已经过去，截至6月28日，整体功能特性已冻结，不会再有其他的JEP。稳定仓库jdk/jdk11目前是开放的，可用于 P1-P2 错误修复，并在经过批准后，可根据 JDK Release Process (JEP 3) 进入 late enhancements 阶段。 RDP 1 candidate bugs RDP 2 candidate bugs Bug-Deferral Process Late-Enhancement Request Process 让我们看一下 JDK 11 发布之前需要达到的里程碑： Rampdown— 对进入此阶...

2018-08-22

795

在今天的多语言编程世界中，企业不再局限于一种特定的编程语言。但是，Cloud Foundry Foundation (CFF)近日发布的一份新报告确实发现企业似乎坚持使用 Java 和 JavaScript 来满足其企业应用程序开发需求。如图所示，企业使用率最高的前 10 种语言是：Java，JavaScript，C ++，C＃，Python，PHP，VB.NET，C，Visual Basic 6 和 VBA。这些结果表明，Java 和 JavaScript 在 2018 年分别占据 58％和 57％的主导地位。 RedMonk 在 2018 年 3 月发布了 2017 年和 2018 年语言排行榜的排名变化，发现 Java 和 JavaScript 同样一直处于排行榜顶层。但与 CFF 的调查相反的是，RedMonk 发现 Python 和 PHP 的使用率高于 C# 和 C++。当基金会仔细研究特定受众使用的语言时，发现公司越大，使用的语言就越多。在大企业中比较常看到 Python 和 C# 的使用率。另外还发现，区域不同，语言的使用情况也存在差异，如，JavaScri...

2018-08-24

750

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。