🥇 प्रमाणीकरण बायपास करण्यासाठी समान युनिकोड वर्ण वापरणे

GitHub असल्याचे बाहेर वळले ईमेलमधील युनिकोड वर्णांच्या फेरफार करून खात्यात प्रवेश मिळवण्याची परवानगी देणार्‍या आक्रमणास संवेदनाक्षम आहे. समस्या अशी आहे की काही युनिकोड वर्ण, लोअरकेस किंवा अप्परकेस कन्व्हर्जन फंक्शन्स वापरताना, सामान्य वर्णांमध्ये अनुवादित केले जातात जे शैलीमध्ये समान असतात (जेव्हा अनेक भिन्न वर्ण एका वर्णात अनुवादित केले जातात - उदाहरणार्थ, तुर्की वर्ण "ı" आणि "i " जेव्हा अप्पर केसमध्ये रूपांतरित केले जाते तेव्हा "I" मध्ये रूपांतरित केले जाते).

काही सेवा आणि अनुप्रयोगांमध्ये लॉगिन पॅरामीटर्स तपासण्यापूर्वी, वापरकर्त्याने पुरवलेला डेटा प्रथम अप्पर किंवा लोअर केसमध्ये रूपांतरित केला जातो आणि नंतर डेटाबेसमध्ये तपासला जातो. जर एखादी सेवा लॉगिन किंवा ईमेलमध्ये युनिकोड वर्ण वापरण्याची परवानगी देत असेल, तर आक्रमणकर्ता युनिकोड केस मॅपिंग टक्करांमध्ये टक्कर घडवून आणणारा हल्ला करण्यासाठी तत्सम युनिकोड वर्ण वापरू शकतो.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() =='[ईमेल संरक्षित]'.toUpperCase()

GitHub वर हल्लेखोर शकते विसरलेला पासवर्ड पुनर्प्राप्त करण्यासाठी फॉर्मद्वारे, फॉर्ममध्ये युनिकोड वर्णाचा समावेश असलेला पत्ता दर्शवून दुसर्‍या ईमेलवर पुनर्प्राप्ती कोड पाठविणे सुरू करा ज्यामुळे टक्कर होते (उदाहरणार्थ, त्याऐवजी [ईमेल संरक्षित] ईमेल m सूचित केले होतेı[ईमेल संरक्षित]). पत्ता चाचणी उत्तीर्ण झाला कारण तो अप्परकेसमध्ये रूपांतरित झाला आणि मूळ पत्त्याशी जुळला ([ईमेल संरक्षित] ), परंतु पत्र पाठवताना ते जसेच्या तसे बदलले गेले आणि पुनर्प्राप्ती कोड बनावट पत्त्यावर पाठविला गेला (mı[ईमेल संरक्षित]).

काही वर्ण, रजिस्टर रूपांतरित करताना टक्कर होऊ शकते:

ß 0x00DF SS
0x0131 I
ſ 0x017F S
0xFB00 FF
0xFB01 FI
FL 0xFB02 FL
ﬃ 0xFB03 FFI
0xFB04 FFL
FL 0xFB05 ST
0xFB06 ST
K 0x212A k

स्त्रोत: opennet.ru

प्रमाणीकरण बायपास करण्यासाठी समान युनिकोड वर्ण वापरणे

एक टिप्पणी जोडा Отменить ответ