🥇 प्रमाणीकरण बाइपास गर्न समान युनिकोड वर्णहरू प्रयोग गर्दै

GitHub समाप्त भयो एउटा आक्रमणको लागि संवेदनशील छ जसले तपाईंलाई इमेलमा युनिकोड वर्णहरूको हेरफेर मार्फत खातामा पहुँच कब्जा गर्न अनुमति दिन्छ। समस्या यो छ कि केहि युनिकोड क्यारेक्टरहरू, लोअरकेस वा अपरकेस रूपान्तरण प्रकार्यहरू प्रयोग गर्दा, शैलीमा समान हुने नियमित क्यारेक्टरहरूमा अनुवाद गरिन्छ (जब धेरै फरक क्यारेक्टरहरू एउटै क्यारेक्टरमा अनुवाद गरिन्छ - उदाहरणका लागि, टर्की क्यारेक्टर "ı" र "i " जब माथिल्लो केसमा रूपान्तरण हुन्छ "I" मा रूपान्तरण गरिन्छ।

केही सेवाहरू र अनुप्रयोगहरूमा लगइन प्यारामिटरहरू जाँच गर्नु अघि, प्रयोगकर्ता-सप्लाई गरिएको डाटा पहिले माथिल्लो वा तल्लो केसमा रूपान्तरण गरिन्छ र त्यसपछि डाटाबेसमा जाँच गरिन्छ। यदि कुनै सेवाले लगइन वा इमेलमा युनिकोड क्यारेक्टरहरू प्रयोग गर्न अनुमति दिन्छ भने, आक्रमणकारीले युनिकोड केस म्यापिङ टक्करहरूमा टकरावलाई हेरफेर गर्ने आक्रमण गर्न समान युनिकोड क्यारेक्टरहरू प्रयोग गर्न सक्छ।

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() =='[ईमेल सुरक्षित]'.toUpperCase()

GitHub मा आक्रमणकारी सक्छ बिर्सिएको पासवर्ड पुन: प्राप्तिको लागि फारम मार्फत, फारममा ठेगाना संकेत गरेर अर्को इमेलमा रिकभरी कोड पठाउन प्रारम्भ गर्नुहोस् जसमा युनिकोड क्यारेक्टर समावेश छ जसले टक्कर दिन्छ (उदाहरणका लागि, को सट्टा [ईमेल सुरक्षित] इमेल m संकेत गरिएको थियोı[ईमेल सुरक्षित])। ठेगानाले परीक्षण पास गर्यो किनभने यसलाई ठूलो अक्षरमा रूपान्तरण गरिएको थियो र मूल ठेगानासँग मेल खायो ([ईमेल सुरक्षित] ), तर पत्र पठाउँदा यसलाई जस्तै प्रतिस्थापन गरिएको थियो र रिकभरी कोड नक्कली ठेगानामा पठाइएको थियो (mı[ईमेल सुरक्षित]).

केहि पात्रहरू, दर्ता रूपान्तरण गर्दा टकरावको कारण:

ß 0x00DF SS
0x0131 I
ſ 0x017F S
0xFB00 FF
FI 0xFB01 FI
FL 0xFB02 FL
0xFB03 FFI
0xFB04 FFL
FL 0xFB05 ST
0xFB06 ST
K 0x212A k

स्रोत: opennet.ru

प्रमाणीकरण बाइपास गर्न समान युनिकोड क्यारेक्टरहरू प्रयोग गर्दै

एक टिप्पणी थप्न Отменить ответ