ReDoS: catastrophic backtracking в проверке email профиля

# ReDoS (Регулярное выражение в проверке email) ## Сценарий «Идентика» — внутренняя платформа управления учётными записями: сотрудник входит в профиль и меняет контактный email, а сервер перед сохранением проверяет адрес «на корректность». Служба мониторинга уже дважды фиксировала паузы, когда воркер не отвечал никому, и оба раза — сразу после смены email. Разработчики разбора не нашли, и вас, инженера по безопасности, попросили воспроизвести инцидент. Под подозрением серверная проверка адреса: она выполняется одним регулярным выражением, устройство которого давно никто не пересматривал. ## Цель 1. Авторизуйтесь и найдите в профиле проверку email-адреса. 2. Подберите вход, при котором проверка блокирует поток событий сервера на секунды. 3. Добейтесь фиксации инцидента доступности и заберите флаг из отчёта об инцидентах. ## Теория Движок регулярных выражений в V8 относится к типу NFA с перебором откатов: при неудаче он возвращается и пробует другие способы сопоставить уже пройденные символы. Если шаблон неоднозначен — одна и та же буква может быть «съедена» любой из двух вложенных квантифицированных групп, — количество вариантов разбиения растёт экспоненциально с длиной входа. Пока совпадение есть, движок отвечает быстро; но если вход почти подходит под шаблон и лишь в конце содержит символ, ломающий совпадение, движок перебирает все разбиения подряд. В Node.js поток событий один: пока движок считает, сервер не отвечает ни одному клиенту. Это Regular Expression Denial of Service — отказ в обслуживании одним маленьким запросом. **Уязвимый паттерн:** ```js // Проверка адреса регулярным выражением на пользовательском вводе: const valid = EMAIL_RE.test(userInput); ``` Механика словами: проверяющее выражение построено из повторяющихся групп символов, допускающих несколько разбиений одной и той же последовательности. Вход, вызывающий экспоненциальный перебор откатов, выглядит как почти корректный адрес: длинный однородный фрагмент, который шаблон мог бы разобрать многими способами, и замыкающий символ, который делает каждое разбиение неудачным. ## Точка входа атаки `POST /api/profile/email-check` — JSON-эндпоинт проверки адреса: поле `email`; в ответе — признак корректности и время проверки в миллисекундах (поле `duration_ms`). `GET /admin/incident-report` — отчёт о зафиксированных инцидентах доступности: после первой затянувшейся проверки возвращает справочный токен с флагом. * **Тестовая учётная запись:** `demo` / `demo`