🥇שימוש בתווי Unicode דומים כדי לעקוף אימות

GitHub פנה רגיש להתקפה המאפשרת לך לתפוס גישה לחשבון באמצעות מניפולציה של תווי Unicode בדוא"ל. הבעיה היא שחלק מתווי Unicode, כאשר משתמשים בפונקציות ההמרה באותיות קטנות או רישיות, מתורגמים לתווים רגילים הדומים בסגנון (כאשר מספר תווים שונים מתורגמים לתו אחד - למשל, התו הטורקי "ı" ו-"i " כאשר מומרים לאותיות גדולות מומרים ל"אני").

לפני בדיקת פרמטרי התחברות בשירותים ויישומים מסוימים, נתונים שסופקו על ידי המשתמש מומרים תחילה לאותיות גדולות או קטנות ולאחר מכן נבדקים במסד הנתונים. אם שירות מאפשר שימוש בתווי unicode בכניסה או במייל, אזי תוקף יכול להשתמש בתווי unicode דומים כדי לבצע תקיפה שמתמרנת התנגשויות ב-Unicode Case Mapping Collisions.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() == '[מוגן בדוא"ל]'.toUpperCase()

תוקף ב-GitHub יכול דרך הטופס לשחזור סיסמה שנשכחה, התחל שליחת קוד שחזור למייל אחר על ידי ציון בטופס כתובת הכוללת תו unicode הגורם להתנגשות (לדוגמה, במקום [מוגן בדוא"ל] הוגדר אימייל mı[מוגן בדוא"ל]). הכתובת עברה את הבדיקה כי היא הומרה לאותיות רישיות והתאימה לכתובת המקורית ([מוגן בדוא"ל] ), אך בעת שליחת המכתב הוא הוחלף כפי שהוא וקוד השחזור נשלח לכתובת מזויפת (מı[מוגן בדוא"ל]).

חלק מ символов, גורם להתנגשויות בעת המרת אוגר:

ß 0x00DF SS
אני 0x0131 אני
ſ 0x017F S
ﬀ 0xFB00 FF
 0xFB01 FI
fl 0xFB02 FL
ﬃ 0xFB03 FFI
ﬄ 0xFB04 FFL
ﬅ 0xFB05 ST
ﬆ 0xFB06 ST
K 0x212A k

מקור: OpenNet.ru

שימוש בדמויות Unicode דומות כדי לעקוף אימות

הוספת תגובה ביטול תגובה