Използването на невидими unicode символи за скриване на действия в JavaScript код.

След метода на атака Trojan Source, основан на използването на Unicode символи, които променят реда на показване на двупосочен текст, е публикувана още една техника за внедряване на скрити действия, приложима за код на JavaScript. Новият метод е основан на използването на unicode символа «ㅤ» (код 0x3164, «HANGUL FILLER»), който принадлежи към групата на буквите, но няма видимо съдържание. Unicode категорията, в която попада този символ, е разрешена от спецификацията ECMAScript 2015 за използване в имената на променливи на JavaScript, което позволява създаването на невидими променливи или нови променливи, неразличими от други променливи в популярни редактори за код, като Notepad++ и VS Code.

Като пример е представен код за платформата Node.js, в който чрез променлива, състояща се от един символ «ㅤ», е скрит бекдор, позволяващ изпълнението на указания от нападателя код: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // на практика е посочено «const { timeout,ㅤ \u3164}» const checkCommands = [ ‘ping -c 1 google.com’, ‘curl -s http://example.com/’,ㅤ // след запетаята следва символ \u3164 ];

На пръв поглед, чрез външния параметър се предава само стойността на timeout, а масивът с изпълняваните команди съдържа безобиден фиксиран списък. Но в действителност, след променливата timeout, се присвоява стойност на още една невидима променлива с код на символа \u3164, която също е включена в масива с изпълнявани команди. Така, при наличие на такава конструкция за активиране на бекдора и изпълнение на свой код, атакуващият може да изпрати заявка от вида "https://host:8080/network_health?=команда".

Като още един пример е посочен символът «ǃ» (ALVEOLAR CLICK), който може да се използва за създаване на видимост на указания за удивителен знак. Например, изразът «if(environmentǃ=ENV_PROD){» при изпълнение в Node.js 14 винаги ще бъде истинен, тъй като в него не се извършва проверка за различие, а присвояване на променливата «environmentǃ» на стойността ENV_PROD. Между заблуждаващите unicode символи се отбелязват също «／», «−», «＋», «⩵», «❨», «⫽», «꓿» и «∗».

Източник: opennet.ru