为什么 CVE-2021-33623 容易受到 ReDoS 攻击？

问题描述

CVE-2021-33623 指出以下代码（在 this commit 中修复，包括测试用例）存在与 ReDoS 相关的问题：

trimNewlines.end = string => string.replace(/[\r\n]+$/,'');

但究竟为什么它容易受到 ReDoS 攻击？

解决方法

正则表达式的时间复杂度为 O(n²)，因为正则表达式引擎尝试在字符串内的每个位置匹配表达式。注意正则表达式引擎从左到右解析输入字符串，尝试在每个位置一个位置匹配，并且模式序列也从左到右检查。所以，先取[\r\n]+，regex引擎尝试在字符串的开头进行匹配，如果没有CR/LF字符，则停止当前位置的模式处理，将索引移到下一个字符串内的位置，[\r\n]+ 被尝试...直到它匹配 CR/LF 字符。仅当它们匹配时，才会检查 $。

因此，[\r\n]+$ 没有找到字符串的结尾并返回消耗一个或多个换行符，相反，正则表达式引擎会检查字符串中的每个位置是否有换行符，并且一旦找到，就会检查字符串的结尾。因此，如果字符串很大，这可能会导致性能非常低。

在某些正则表达式风格中，有一种方法可以告诉正则表达式引擎从字符串末尾搜索匹配项，例如，在 .NET（使用 RegexOptions.RightToLeft 选项）或 Python PyPi { {1}} 模块（带有 regex 选项或 regex.REVERSE 内联版本）。不幸的是，在 JavaScript 中并非如此。

可能，最安全的方法是匹配除换行符之外的任何字符，然后是换行符，捕获它们，但在捕获组中保留一个长字符串也可能不是一个好主意。因此，虽然您可以考虑 (?r)（或 .replace(/^([\r\n]*[^\r\n]+(?:[\r\n]+[^\r\n]+)*)[\r\n]+$/,'$1')），与 131 (132) steps（{{1} } 模式），但在这些情况下，仅使用字符串操作似乎是最好的方法。