6

Digamos que, por alguma razão, eu precise criar uma expressão regular que possua uma parte do seu padrão configurável por um usuário.

Algo como este exemplo bem trivial:

const regex = new RegExp('^' + possiblyUnsafeUserInput, 'i');

No entanto, conhecendo um pouco de expressões regulares, sei que isso pode ser problemático, já que o usuário poderá fazer uso dos caracteres e sequências especiais que as expressões regulares suportam, tais como (, ), ?, \s, \d, entre muitos outros.

Então, gostaria de perguntar:

  • Até que ponto isso é problemático? Quais problemas isso pode me trazer?
  • Há como resolver esses problemas? Se sim, como?

A pergunta está mais voltada ao ecossistema do JavaScript, mas em tese pode ser independente de linguagem também.

1 Resposta 1

9

Uma forma de "resolver" é simplesmente fazendo o escape dos metacaracteres, colocando um \ antes deles. Algo assim:

possiblyUnsafeUserInput = possiblyUnsafeUserInput.replace(/[-\/\\^$*+?.()|[\]{}]/g, '\\$&');
const regex = new RegExp('^' + possiblyUnsafeUserInput, 'i');

O código acima foi baseado nesta resposta.

Os colchetes definem uma classe de caracteres, e dentro deles muitos caracteres não precisam ser escapados (as exceções são as barras, que são os delimitadores da regex, além do colchete de fechamento e da própria \, que precisam do \ antes).

Conforme descrito na documentação, $& corresponde à toda a string encontrada pela regex (que no caso, sempre será um dos metacaracteres - e graças à flag g, eu faço a substituição em todos eles, colocando a \ antes). Assim, os metacaracteres são escapados e passam a ser interpretados como caracteres "normais".


Mas será que você precisa disso?

No seu exemplo específico, se o usuário digitou algo como "(abc)" e você quer verificar se a string começa com "(abc)", daria para fazer simplesmente:

let comecaCom = algumaString.startsWith(possiblyUnsafeUserInput);

De maneira similar, se quer ver se a string está no meio ou no final, poderia usar algumaString.includes(possiblyUnsafeUserInput) ou algumaString.endsWith(possiblyUnsafeUserInput). Se a ideia é só verificar se a string digitada pelo usuário está contida em outra string, não precisa de regex.

Claro que se a string digitada fizer parte de algo mais complexo (quero verificar se esta string é seguida de algum outro padrão que é melhor expressado por regex, como por exemplo, se ela é seguida de um ou mais números, seguido de espaços e alguma outra coisa, etc), aí faria mais sentido usar a regex. E neste caso, bastaria escapar a possiblyUnsafeUserInput e concatenar no restante da expressão. Ex:

possiblyUnsafeUserInput = possiblyUnsafeUserInput.replace(/[-\/\\^$*+?.()|[\]{}]/g, '\\$&');
// string deve estar no início e seguida de um ou mais números
const regex = new RegExp('^' + possiblyUnsafeUserInput + '\\d+', 'i');

Um dos problemas, para mim, é o mesmo de usar regex em si: nem sempre fica um código fácil de entender, e é muito fácil se perder no meio de um monte de \ espalhados pela string. Mas também tem outro...


ReDoS e os perigos de criar regex com entradas de usuário

Existe um tipo de ataque chamado ReDoS (Regex Denial of Service), que basicamente consiste em enviar uma regex que gera muito backtracking, podendo "quebrar" a aplicação (já que ela pode demorar muito para rodar, consumindo recursos e travando a máquina, por exemplo).

Por exemplo, algo como ^((ab)*)+$ (sendo que (ab)* é "zero ou mais ocorrências de ab", e isso tudo pode se repetir uma ou mais vezes). Se a string for algo como "ababab a", a engine tentará várias possibilidades até perceber que não existe nenhum match. Veja aqui que ela precisa de cerca de 70 passos para perceber isso, e se dobrarmos o tamanho da string, a quantidade de passos necessários aumenta para mais de 500 (e adicionando apenas um "ab" a mais, já aumenta para mais de 1000).

A quantidade exata de passos varia conforme a implementação de cada linguagem/engine, mas de qualquer maneira, o crescimento sempre será exponencial.

Isso ocorre porque quantificadores aninhados geram muitas possibilidades diferentes (pode ser um "ab" que se repete várias vezes, ou "abab" que se repete várias vezes, um "ab" seguido de vários "ababab", etc), e a regex testa todas elas antes de perceber que não existe nenhum match (mesmo que pareça redundante para nós verificar tudo isso, é assim que as engines modernas costumam fazer). Isso tudo é explicado mais em detalhes aqui.

Claro que o exemplo do "ab" é meio "bobo" e serve apenas para ilustrar o problema, mas se em vez de "a" e "b" fosse usado alguma expressão que corresponde a vários caracteres diferentes (como \w ou até mesmo o .), aí a regex teria que verificar várias repetições de vários caracteres diferentes. As possibilidades aumentam exponencialmente, gerando uma "catástrofe" e a string nem precisa ser tão grande assim para "quebrar" a engine.

Por exemplo, a regex ^((..)*)+$ procura por uma ou mais ocorrências de (..)* (que por sua vez, é zero ou mais ocorrências de 2 caracteres quaisquer). No regex101.com, uma string com apenas 35 caracteres já foi capaz de "quebrar" a engine, veja aqui. Com 29 caracteres, a engine precisou de mais de 160 mil passos para perceber que não há um match (veja), pois uma repetição dentro de outra gera inúmeras possibilidades de busca (pode ser uma ocorrência de .. repetida várias vezes, ou uma ocorrência de .. seguida de 2 ocorrências de .., seguida de 3 ocorrências, etc, enfim, são tantas possibilidades que a engine acaba "quebrando" - e mesmo que não quebre, o tempo de execução pode ser tão alto que acaba tendo impactos na aplicação).

Claro que a quantidade exata de passos e o tamanho das entradas que causa problema varia de uma linguagem/engine/API para outra, já que depende de detalhes de implementação, da regex usada, das strings sendo testadas, se a API faz alguma otimização interna dependendo do caso, etc. Mas em geral, elas são suscetíveis a esse tipo de ataque.


Sendo assim, é importante validar as entradas antes de criar uma regex com qualquer string. Nesse caso específico, acredito que o escape dos metacaracteres já evite muitos casos como o citado acima, mas não pesquisei o suficiente e acredito até que deva existir alguma regex "esperta" que consiga contornar esta solução.

Existem inclusive algumas libs que "prometem" te proteger contra essas regex maliciosas (como essa e essa, que não cheguei a testar).

Por fim, isso não chega a ser tão grave quanto eval (que foi citado nos comentários), já que o construtor de RegExp só verifica se a string é uma expressão válida (não há a execução de código arbitrário), mas de qualquer forma é sempre bom validar e sanitizar os inputs.

E como já dito, no seu caso específico talvez nem precise de regex.


Outras linguagens possuem métodos específicos que já fazem o escape corretamente, como por exemplo Python e Java. Outras engines suportam os atalhos \Q e \E, que servem para escapar tudo que está entre eles (ou seja, \Q[]\E seria o mesmo que \[\]). Infelizmente, o JavaScript não suporta esses atalhos e nem possui um método que já faça o escape.

3
  • 2
    Acho que vale complementar com pt.stackoverflow.com/q/128845/101. Tem essa outra insegurança. Se receber pelo Node/Deno, é um problema maior, ainda que o RegEx não permitirá diretamente você chamar o sistema operacional (pode ser que o faça depois). No JS normal o problema é menor, mas ainda pode fazer algo dar erro. No .*front* você precisa validar e esperar que alguém passe por cima, mas não é preciso fazer muito nesse caso, no back não pode deixar passar, e se vier algo errado de propósito pode ser uma tentativa de araque.
    – Maniero
    19/06/2020 às 12:52
  • 2
    @Maniero Atualizei a resposta (não ficou tão completo quanto eu gostaria porque está meio corrido agora, se der complemento mais depois). De qq forma, obrigado pelo comentário :-)
    – hkotsubo
    19/06/2020 às 14:07
  • 2
    Ficou muito bom.
    – Maniero
    19/06/2020 às 14:18

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .