მსგავსი Unicode სიმბოლოების გამოყენება ავტორიზაციის გვერდის ავლით

GitHub აღმოჩნდა მგრძნობიარეა თავდასხმის მიმართ, რომელიც საშუალებას გაძლევთ დაიჭიროთ წვდომა ანგარიშზე ელ.ფოსტის Unicode სიმბოლოებით მანიპულირების გზით. პრობლემა ის არის, რომ უნიკოდის ზოგიერთი სიმბოლო, მცირე ან დიდი კონვერტაციის ფუნქციების გამოყენებისას, ითარგმნება ჩვეულებრივ სიმბოლოებად, რომლებიც მსგავსია სტილით (როდესაც რამდენიმე სხვადასხვა სიმბოლო ითარგმნება ერთ სიმბოლოზე - მაგალითად, თურქული სიმბოლო "ı" და "i" როდესაც გადაიყვანება დიდ რეზერვში, გარდაიქმნება "I").

ზოგიერთ სერვისსა და აპლიკაციაში შესვლის პარამეტრების შემოწმებამდე, მომხმარებლის მიერ მიწოდებული მონაცემები ჯერ გარდაიქმნება დიდ ან პატარა რეზერვში და შემდეგ მოწმდება მონაცემთა ბაზაში. თუ სერვისი ნებას რთავს უნიკოდის სიმბოლოების გამოყენებას ლოგინში ან ელფოსტაში, მაშინ თავდამსხმელს შეუძლია გამოიყენოს მსგავსი უნიკოდის სიმბოლოები შეტევის განსახორციელებლად, რომელიც მანიპულირებს შეჯახებით Unicode Case Mapping Collisions-ში.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() == '[ელ.ფოსტით დაცულია]'.toUpperCase()

თავდამსხმელი GitHub-ზე შეიძლება დავიწყებული პაროლის აღდგენის ფორმის საშუალებით, დაიწყეთ აღდგენის კოდის გაგზავნა სხვა ელფოსტაზე, ფორმაში მიუთითეთ მისამართი, რომელიც შეიცავს უნიკოდის სიმბოლოს, რომელიც იწვევს შეჯახებას (მაგალითად, ნაცვლად [ელ.ფოსტით დაცულია] ელფოსტა m იყო მითითებულიı[ელ.ფოსტით დაცულია]). მისამართმა გაიარა ტესტი, რადგან ის გადაკეთდა დიდზე და დაემთხვა თავდაპირველ მისამართს ([ელ.ფოსტით დაცულია] ), მაგრამ წერილის გაგზავნისას ის შეიცვალა როგორც არის და აღდგენის კოდი გაიგზავნა ყალბ მისამართზე (მı[ელ.ფოსტით დაცულია]).

Ზოგიერთი პერსონაჟებირეგისტრის კონვერტაციისას იწვევს შეჯახებებს:

ß 0x00DF SS
0x0131 I
ſ 0x017F S
0xFB00 FF
 0xFB01 FI
 0xFB02 FL
 0xFB03 FFI
ffl 0xFB04 FFL
ſt 0xFB05 ST
st 0xFB06 ST
K 0x212A კ

წყარო: opennet.ru