JavaScript કોડમાં ક્રિયાઓ છુપાવવા માટે અદ્રશ્ય યુનિકોડ અક્ષરોનો ઉપયોગ કરવો

યુનિકોડ અક્ષરોના ઉપયોગ પર આધારિત ટ્રોજન સોર્સ એટેક પદ્ધતિને અનુસરીને જે દ્વિપક્ષીય ટેક્સ્ટના પ્રદર્શન ક્રમમાં ફેરફાર કરે છે, છુપાયેલી ક્રિયાઓ રજૂ કરવા માટેની બીજી તકનીક પ્રકાશિત કરવામાં આવી છે, જે JavaScript કોડને લાગુ પડે છે. નવી પદ્ધતિ યુનિકોડ અક્ષર "ㅤ" (કોડ 0x3164, "હંગુલ ફિલર") ના ઉપયોગ પર આધારિત છે, જે એક અક્ષર છે પરંતુ તેમાં કોઈ દૃશ્યમાન સામગ્રી નથી. આ પાત્ર કે જે યુનિકોડ કેટેગરીનું છે તેને JavaScript વેરિયેબલ નામોમાં ઉપયોગ માટે ECMAScript 2015 સ્પષ્ટીકરણથી મંજૂરી આપવામાં આવી છે, જે નોટપેડ++ અને VS કોડ જેવા લોકપ્રિય કોડ એડિટર્સમાં અદ્રશ્ય ચલો અથવા અન્ય ચલોથી અલગ ન કરી શકાય તેવા નવા ચલો બનાવવાનું શક્ય બનાવે છે.

ઉદાહરણ તરીકે, Node.js પ્લેટફોર્મ માટેનો કોડ આપવામાં આવ્યો છે, જેમાં, એક અક્ષર "ㅤ" ધરાવતા વેરીએબલનો ઉપયોગ કરીને, બેકડોર છુપાયેલ છે જે તમને હુમલાખોર દ્વારા ઉલ્લેખિત કોડને ચલાવવાની મંજૂરી આપે છે: app.get( '/network_health', async (req, res) = > { const { timeout,ㅤ} = req.query; // ખરેખર કહે છે "const { timeout,ㅤ \u3164}" const checkCommands = [ 'ping -c 1 google. com', 'curl -s http:// example.com/',ㅤ // અલ્પવિરામ પછી \u3164 ];

પ્રથમ નજરમાં, ફક્ત સમયસમાપ્તિ મૂલ્ય બાહ્ય પરિમાણમાંથી પસાર થાય છે, અને આદેશો સાથેના એરેમાં એક હાનિકારક નિશ્ચિત સૂચિ છે. પરંતુ વાસ્તવમાં, સમયસમાપ્તિ ચલ પછી, પ્રતીક કોડ \u3164 સાથે અન્ય અદ્રશ્ય ચલનું મૂલ્ય અસાઇન કરવામાં આવે છે, જે એક્ઝેક્યુટેબલ આદેશોની એરેમાં પણ બદલાય છે. આમ, આવી રચનાની હાજરીમાં, હુમલાખોર બેકડોર સક્રિય કરવા અને તેના કોડને એક્ઝિક્યુટ કરવા માટે "https://host:8080/network_health?%E3%85%A4=command" જેવી વિનંતી મોકલી શકે છે.

બીજા ઉદાહરણ તરીકે, અક્ષર "ǃ" (અલ્વોલર ક્લિક) આપવામાં આવ્યું છે, જેનો ઉપયોગ ઉદ્ગારવાચક બિંદુ દર્શાવતો દેખાવ આપવા માટે થઈ શકે છે. ઉદાહરણ તરીકે, અભિવ્યક્તિ "if(environmentǃ=ENV_PROD){" જ્યારે Node.js 14 માં એક્ઝિક્યુટ કરવામાં આવે ત્યારે તે હંમેશા સાચું રહેશે, કારણ કે તે તફાવતો માટે તપાસ કરતું નથી, પરંતુ ચલ "environmentǃ" ને ENV_PROD પર સેટ કરે છે. ભ્રામક યુનિકોડ અક્ષરોમાં "／", "−", "＋", "⩵", "❨", "⫽", "꓿", અને "∗" શામેલ છે.

સોર્સ: opennet.ru