પ્રમાણીકરણને બાયપાસ કરવા માટે સમાન યુનિકોડ અક્ષરોનો ઉપયોગ કરવો

GitHub બહાર આવ્યું છે તે હુમલા માટે સંવેદનશીલ છે જે તમને ઈમેલમાં યુનિકોડ અક્ષરોની હેરફેર દ્વારા એકાઉન્ટની ઍક્સેસ જપ્ત કરવાની મંજૂરી આપે છે. સમસ્યા એ છે કે કેટલાક યુનિકોડ અક્ષરો, લોઅરકેસ અથવા અપરકેસ કન્વર્ઝન ફંક્શનનો ઉપયોગ કરતી વખતે, નિયમિત અક્ષરોમાં ભાષાંતર કરવામાં આવે છે જે શૈલીમાં સમાન હોય છે (જ્યારે ઘણા જુદા જુદા અક્ષરોને એક અક્ષરમાં અનુવાદિત કરવામાં આવે છે - ઉદાહરણ તરીકે, ટર્કિશ અક્ષર "ı" અને "i " જ્યારે અપરકેસમાં રૂપાંતરિત થાય છે ત્યારે "I" માં રૂપાંતરિત થાય છે).

કેટલીક સેવાઓ અને એપ્લિકેશન્સમાં લોગિન પરિમાણો તપાસતા પહેલા, વપરાશકર્તા દ્વારા પૂરા પાડવામાં આવેલ ડેટાને પહેલા અપર કે લોઅર કેસમાં રૂપાંતરિત કરવામાં આવે છે અને પછી ડેટાબેઝમાં તપાસવામાં આવે છે. જો કોઈ સેવા લોગિન અથવા ઈમેલમાં યુનિકોડ અક્ષરોના ઉપયોગની મંજૂરી આપે છે, તો હુમલાખોર યુનિકોડ કેસ મેપિંગ અથડામણમાં અથડામણને ચાલાકીથી ચાલાકી કરતા હુમલો કરવા માટે સમાન યુનિકોડ અક્ષરોનો ઉપયોગ કરી શકે છે.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() =='[ઇમેઇલ સુરક્ષિત]'.toUpperCase()

GitHub પર હુમલાખોર શકવું ભૂલી ગયેલા પાસવર્ડને પુનઃપ્રાપ્ત કરવા માટેના ફોર્મ દ્વારા, ફોર્મમાં એક સરનામું સૂચવીને અન્ય ઇમેઇલ પર પુનઃપ્રાપ્તિ કોડ મોકલવાનું શરૂ કરો જેમાં યુનિકોડ અક્ષર હોય છે જે અથડામણનું કારણ બને છે (ઉદાહરણ તરીકે, તેના બદલે [ઇમેઇલ સુરક્ષિત] ઈમેલ m નો ઉલ્લેખ કરવામાં આવ્યો હતોı[ઇમેઇલ સુરક્ષિત]). સરનામે પરીક્ષણ પાસ કર્યું કારણ કે તે અપરકેસમાં રૂપાંતરિત થયું હતું અને મૂળ સરનામા સાથે મેળ ખાતું હતું ([ઇમેઇલ સુરક્ષિત] ), પરંતુ પત્ર મોકલતી વખતે તે જેમ છે તેમ બદલાઈ ગયો હતો અને રિકવરી કોડ નકલી સરનામે મોકલવામાં આવ્યો હતો (mı[ઇમેઇલ સુરક્ષિત]).

કેટલાક આ, રજિસ્ટરને કન્વર્ટ કરતી વખતે અથડામણનું કારણ બને છે:

ß 0x00DF SS
0x0131 I
ſ 0x017F એસ
0xFB00 FF
0xFB01 FI
FL 0xFB02 FL
ffi 0xFB03 FFI
0xFB04 FFL
FL 0xFB05 ST
0xFB06 ST
K 0x212A k

સોર્સ: opennet.ru