rits-dajare / daas Goto Github PK

#30 もこの方法で対応した方が合理的

Docker をどっかーにやる

READMEのReferencesにある，DajareStationのロゴ画像が消えているので修正する

下記APIがサービス終了になるらしい

• Powered by goo - カタカナ化API
• Powered by Jetrun - センシティブ分析

いずれも3/31日までに対応する必要がある

Docomo developer support

• Powered by goo
• Powered by Jetrun

https://github.com/cod-sushi/alkana.py
とかで
sampleを沢山pull
を
サンプルを沢山プルで評価して欲しいです。

問題

町を焦土にしたい衝動ダジャレを入力すると，500エラーが発生する。

レスポンス

{"status": "error", "message": "string indices must be integers"}

該当箇所

https://github.com/rits-dajare/DaaS/blob/947e9b9a738beb994c5e8f0369f2f0d6c3fe8354/config/judge_reject_dict.txt#L1

.+「.+」 は脆弱性だ！！ 多項式的にステップ数が増加する！！

攻撃例

ジャッジエンジンが数千文字のマッチングを許容しているなら，連続した「を入力することで攻撃可能だ！！
マッチング文字数に上限を設定しているなら問題ない！！！ このissueはcloseしてくれ！！

import re
import sys
re.search(pattern=r'.+「.+」', string='「'*int(sys.argv[1]))

╰─ time python test.py 3000
python src/c.py 3000  5.71s user 0.03s system 100% cpu 5.729 total

╰─ time python test.py 4000
python src/c.py 4000  16.14s user 0.01s system 100% cpu 16.154 total

解決案

脆弱性の原因は，２つの.の両方が「にもマッチし得ることだ！！
だから，代えて [^「]+「.+」 なら大丈夫だ！！

╰─ time python src/c.py 4000
python src/c.py 4000  0.05s user 0.02s system 105% cpu 0.070 total

以上だ！！

flaskからFastAPIへ移行する