Muutumatute unicode-sümbolite kasutamine JavaScripti koodi tegevuste varjamiseks

Trojan Source rünnakumeetodil, mis põhineb Unicode-märkide kasutamisel, mis muudavad kahe suuna tekstide kuvamise järjekorda, on avaldatud veel üks tehnika, mis võimaldab peidetud tegevusi JavaScripti koodi sisse sisestada. Uus meetod tugineb unicode-märgile „ㅤ” (kood 0x3164, „HANGUL FILLER”), mis kuulub tähtede kategooriasse, kuid ei oma nähtavat sisu. See unicode-kategooria on alates ECMAScript 2015 spetsifikatsioonist lubatud JavaScripti muutuja nimedes, võimaldades luua nähtamatuid muutujaid või uusi muutujaid, mis ei eristu teistest populaarsetes koodiredaktorites nagu Notepad++ ja VS Code.

Näitena on toodud Node.js platvormi kood, kus ühe „ㅤ” märgi koostisosana on peidetud tagauks, mis võimaldab käivitada ründaja määratud koodi: app.get(' /network_health', async (req, res) => { const { timeout,ㅤ} = req.query; // tegelikult näidatud on „const { timeout,ㅤ \u3164}” const checkCommands = [ 'ping -c 1 google.com', 'curl -s http://example.com/',ㅤ // komakohas järgneb märk \u3164 ];

Esmapilgul edastatakse välise parameetri kaudu ainult timeout väärtus ning käivitatavate käskude massiiv sisaldab kahjutut fikseeritud loendit. Kuid tegelikult määratakse timeout muutuja järel veel ühele nähtamatule muutuvale, mille kood on \u3164, mis on samuti sisestatud käivitatavate käskude massiivi. Seega, kui selline struktuur eksisteerib, saab ründaja tagaukse aktiveerimiseks ja oma koodi käivitamiseks saata päringu vormingus „https://host:8080/network_health?=käsk”.

Veel ühe näitena on toodud märk „ǃ” (ALVEOLAR CLICK), mida saab kasutada eksitava hüüumärgi näitamiseks. Näiteks avaldades Node.js 14'is lause „if(environmentǃ=ENV_PROD){” on see alati tõene, kuna see ei kontrolli erinevust, vaid omistab muutuja „environmentǃ” väärtuse ENV_PROD. Eksitavate unicode-märkide seas on samuti mainitud „／”, „−”, „＋”, „⩵”, „❨”, „⫽”, „꓿” ja „∗”.

Allikas: opennet.ru