本文研究的是 ReDoS(正则表达式拒绝服务)这一软件弱点及其检测工具生态。ReDoS 的成因是: 当正则表达式被用于校验用户可控输入时, 某些正则的匹配过程会退化为指数级(或超线性)时间复杂度, 攻击者只需构造特定输入即可让服务端线程长期占用 CPU, 最终导致服务不可用。论文围绕两个目标展开实证研究。第一项工作是工具评测: 作者选取三套数据集, 对五款公开可用的 ReDoS 检测工具以及一款正则修正/修复工具进行横向对比, 考察它们在'给定正则是否易受 ReDoS 影响'这一判定上的有效性与一致性。第二项工作是对 NVD(国家漏洞数据库)中所有已上报的 ReDoS 漏洞条目做系统性实证分析, 刻画这类漏洞在数量、时间趋势、受影响组件类型等方面与非 ReDoS 漏洞的差异, 从而提炼关于该弱点类别的整体认识。论文的主要发现有三点: (1) ReDoS 漏洞正变得越来越普遍, 在漏洞报告中占比持续上升; (2) 与非 ReDoS 漏洞相比, ReDoS 漏洞被实际利用的可能性显著更高; (3) 不同检测工具对同一个正则是否脆弱的判断存在明显分歧, 说明当前工具之间缺乏统一的判定标准与权威基准, 检测结论高度依赖所选工具。该研究对开发团队、代码审计人员和安全工程团队在选择与评估 ReDoS 防护工具、设计正则审查流程方面具有直接参考价值, 也指出了构建更可靠检测基准的方向。适合关注应用层拒绝服务、输入校验安全、SAST/代码审计工具选型的研究者与工程人员阅读。

正则表达式拒绝服务（ReDoS）攻击是一种通过利用正则表达式引擎的病理最坏情况执行行为导致计算负载高度不对称、最终耗尽系统资源的漏洞类型。为了保护系统免受ReDoS攻击，已有多种检测技术被提出，这些技术通常通过生成攻击字符串来在开发早期主动利用ReDoS漏洞以促进修复。现有方法主要分为两类：一类是静态分析，查找有问题的正则表达式结构；另一类是动态探索方法，合成候选攻击字符串。然而，这些生成的攻击字符串在实际应用中往往不切实际，因为它们通常假设了不现实的输入长度预算，且未在程序级别验证攻击的有效性和效率。因此，许多字符串在应用于实际程序时无法触发易受攻击的正则表达式，限制了其实用性。为了解决这些不足，本文提出了PUFFERDOS，一种高效且有效的攻击字符串生成器，旨在合成既能在现实长度预算内可行又能通过程序级别验证的攻击输入，从而实现在真实程序中对ReDoS漏洞的有效利用。具体而言，首先基于观察和形式化验证定义了三种易受攻击的模式。根据这些模式，PUFFERDOS采用综合技术生成攻击字符串，然后通过ReDoS特定的组合符号执行（concolic execution）对字符串进行优化和验证，确保其在实际环境中可利用。该研究的核心贡献在于弥补了现有攻击字符串生成方法在实用性和有效性上的不足，为安全测试和漏洞修复提供了更可靠的工具。适合安全研究人员、开发者和安全工程师阅读。