ReDoS: catastrophic backtracking в URL-валидаторе профиля

# ReDoS (Регулярное выражение в валидаторе URL) ## Сценарий «КрепМаркет» — магазин крепежа и инструмента с профилем покупателя. В профиле можно указать ссылку на личный сайт или блог: маркетинг показывает её на странице продавца-консультанта. Перед сохранением сервер проверяет URL «на корректность» одним регулярным выражением. Ночью мониторинг дважды поднимал алерт «воркер не отвечает», и оба раза последним действием в логах была смена поля «сайт» в профиле. Вас, дежурного инженера по безопасности, просят воспроизвести инцидент и объяснить его механизм. ## Цель 1. Авторизуйтесь и найдите в профиле проверку персональной ссылки. 2. Подберите значение, при котором валидация блокирует поток событий сервера на секунды, и добейтесь фиксации инцидента. 3. Заберите флаг из отчёта об инциденте доступности. ## Теория Движок регулярных выражений в V8 — NFA с перебором откатов: при неудаче он возвращается и пробует другие способы сопоставить пройденные символы. Если в шаблоне повторяющаяся группа символов сама покрыта повторением, одна и та же последовательность допускает множество разбиений, и их число растёт экспоненциально с длиной входа. Пока совпадение находится, ответ быстрый; вход, который почти подходит и лишь в конце ломает совпадение, заставляет движок перебрать все варианты. В ECMAScript у регулярного выражения нет инструментов ограничить этот перебор — проверка синхронна и непрерываема, а поток событий в Node.js один: пока движок считает, сервер не отвечает никому. Это Regular Expression Denial of Service. **Уязвимый паттерн:** ```js // Валидация персональной ссылки регулярным выражением: const ok = URL_RE.test(userInput); ``` Механика словами: проверяющее выражение разбирает хост из повторяющихся меток, и каждая метка допускает несколько разбиений. Вход, вызывающий экспоненциальный перебор откатов, выглядит как длинная цепочка однородных меток, за которой стоит символ, не вписывающийся в шаблон, — каждое разбиение оказывается неудачным, и движок проверяет их все. ## Точка входа атаки `POST /api/profile/website` — JSON-эндпоинт обновления ссылки: поле `website`; при успешной проверке значение сохраняется в профиле, в ответе — время проверки в миллисекундах (поле `duration_ms`). `GET /admin/dos-incident` — отчёт о первом зафиксированном инциденте доступности: при наличии инцидента возвращает поле с флагом. * **Тестовая учётная запись:** `demo` / `demo`