ReDoS-Scanner fuer Regex

ReDoS-Scanner fuer Regex | Kostenloses Online-Tool | Elysia Tools

Leitfaden zur Tool-Nutzung

Erfahren Sie, wann dieses Tool passt, was es unterstützt und wie Nutzer es anwenden.

Wichtige Fakten

Kategorie: Security
Eingabetypen: textarea, text, number
Ausgabetyp: json
Sample-Abdeckung: 4
API bereit: Ja

Überblick

Der ReDoS-Scanner für Regex ist ein spezialisiertes Sicherheitswerkzeug, das reguläre Ausdrücke auf das Risiko von katastrophalem Backtracking (Regular Expression Denial of Service) prüft. Durch die Kombination von statischen Heuristiken und der Simulation bösartiger Eingaben (Near-Miss-Benchmarking) ermittelt das Tool Schwachstellen in Ihren Mustern und schlägt sichere Alternativen vor, um Performance-Einbrüche oder Serverausfälle zu verhindern.

Wann verwenden

Wenn Sie Benutzereingaben mit komplexen regulären Ausdrücken validieren und Serverausfälle durch ReDoS-Angriffe proaktiv ausschließen möchten.
Vor dem Deployment von neuem Code, um verschachtelte Quantifizierer in Regex-Mustern auf Performance-Risiken zu testen.
Bei der Überprüfung von Legacy-Code oder Drittanbieter-Bibliotheken auf bekannte Backtracking-Schwachstellen.

So funktioniert es

1Fügen Sie Ihre regulären Ausdrücke zeilenweise in das Eingabefeld ein, ohne umschließende Schrägstriche.
2Definieren Sie bei Bedarf Regex-Flags (wie 'i' oder 'm') sowie die maximale Länge der simulierten bösartigen Eingabe.
3Legen Sie die Anzahl der Simulationsläufe fest, um das Benchmarking für den Worst-Case-Fall zu konfigurieren.
4Starten Sie den Scan, um einen detaillierten JSON-Bericht mit Risikobewertungen, Ausführungszeiten und sicheren Alternativen zu erhalten.

Anwendungsfälle

Sicherheits-Audits von Webanwendungen zur Identifikation von ReDoS-anfälligen Validierungslogiken bei Login- oder Registrierungsformularen.
Automatisierte Überprüfungen, um sicherzustellen, dass keine unsicheren regulären Ausdrücke in die Produktionsumgebung gelangen.
Optimierung von Such- und Filterfunktionen, die auf Regex basieren, um eine konstante Performance bei großen Textmengen zu gewährleisten.

Beispiele

1. Überprüfung eines Login-Regex auf ReDoS-Risiken

Security Engineer

Hintergrund

Ein neues Registrierungsformular verwendet komplexe reguläre Ausdrücke zur Validierung von Benutzernamen und E-Mail-Adressen.

Aufgabe

Es muss sichergestellt werden, dass Angreifer den Server nicht durch speziell präparierte Eingaben (ReDoS) lahmlegen können.

Verwendung

Fügen Sie die Regex-Muster in die Liste ein, setzen Sie die Evil-Input-Länge auf 32 und die Simulationsläufe auf 200.

regexList: "(a+)+$\n^(\\w+\\s?)*$"\nmaxEvilInputLength: 32\nsimulationRuns: 200

Ergebnis

Der Scanner identifiziert `(a+)+$` als kritisches Risiko, zeigt die extrem hohe Ausführungszeit beim Benchmarking und schlägt eine sichere Alternative vor.

2. Analyse von Log-Parsing-Mustern

Backend-Entwickler

Hintergrund

Ein Node.js-Server parst täglich Millionen von Log-Zeilen mit verschiedenen regulären Ausdrücken.

Aufgabe

Gelegentlich kommt es zu massiven CPU-Spitzen, vermutlich ausgelöst durch ineffizientes Regex-Matching bei fehlerhaften Log-Einträgen.

Verwendung

FAQ

Was ist katastrophales Backtracking?

Ein Zustand, in dem eine Regex-Engine bei bestimmten Eingaben extrem viele Kombinationen prüfen muss, was zu massiven Verzögerungen und einer extrem hohen CPU-Auslastung führt.

Wie simuliert das Tool bösartige Eingaben?

Es generiert sogenannte 'Near-Miss'-Strings, die fast auf das Muster passen, aber am Ende fehlschlagen. Dadurch wird der Worst-Case-Pfad der Regex-Engine erzwungen und gemessen.

Welche Regex-Flags werden unterstützt?

Sie können gängige JavaScript-Regex-Flags wie 'i' (Case-Insensitive), 'm' (Multiline) oder 'u' (Unicode) in das entsprechende Textfeld eintragen.

Was bedeutet die 'Maximale Evil-Input-Länge'?

Dieser Wert (zwischen 8 und 256) bestimmt, wie lang der generierte Test-String maximal sein darf, um die Ausführungszeit beim Benchmarking zu messen.

Repariert das Tool meine fehlerhaften Regex automatisch?

Das Tool liefert im JSON-Bericht konkrete Vorschläge für sicherere Alternativen, die Sie manuell überprüfen und in Ihren Code übernehmen können.

regexList: "^([a-zA-Z0-9]+\\s?)*:.*$"\nflags: "m"\nsimulationRuns: 500

Wobei dieses Tool hilft

Dieses Tool ausführen

Vorbereitete Beispielausführungen

Eingaben

Ergebnis

Beispiele zu diesem Tool

Mit verwandten Tools und Themen fortfahren

Vorbereitete Beispielausführungen

Eingaben

Ergebnis

Erfahren Sie, wann dieses Tool passt, was es unterstützt und wie Nutzer es anwenden.

Wichtige Fakten

Überblick

Wann verwenden

So funktioniert es

Anwendungsfälle

Beispiele

1. Überprüfung eines Login-Regex auf ReDoS-Risiken

2. Analyse von Log-Parsing-Mustern

FAQ

Risikorehafte Regex-Muster

Regex-Ersetzungsbeispiele

Häufige Reguläre Ausdrücke

Android Java Zeichenkettenverarbeitungsbeispiele

Regex-Spickzettel

Regex-Debugger

Regex-Eisenbahndiagramm-Visualisierer

Text-Datei-Ersetzer

Tools fur Regex-Tests, Visualisierung und Pattern-Debugging