ਡਿਵੈਲਪਰ ਲਈ ਅਦਿੱਖ ਕੋਡ ਵਿੱਚ ਬਦਲਾਅ ਪੇਸ਼ ਕਰਨ ਲਈ ਟਰੋਜਨ ਸਰੋਤ ਹਮਲਾ

ਕੈਮਬ੍ਰਿਜ ਯੂਨੀਵਰਸਿਟੀ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਪੀਅਰ-ਸਮੀਖਿਆ ਕੀਤੇ ਸਰੋਤ ਕੋਡ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਚੁੱਪਚਾਪ ਪਾਉਣ ਲਈ ਇੱਕ ਤਕਨੀਕ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਹੈ। ਤਿਆਰ ਕੀਤੀ ਹਮਲਾ ਵਿਧੀ (CVE-2021-42574) ਨੂੰ ਟਰੋਜਨ ਸੋਰਸ ਨਾਮ ਹੇਠ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਇਹ ਟੈਕਸਟ ਦੇ ਗਠਨ 'ਤੇ ਅਧਾਰਤ ਹੈ ਜੋ ਕੰਪਾਈਲਰ/ਦੁਭਾਸ਼ੀਏ ਅਤੇ ਕੋਡ ਨੂੰ ਦੇਖਣ ਵਾਲੇ ਵਿਅਕਤੀ ਲਈ ਵੱਖਰਾ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ। ਵਿਧੀ ਦੀਆਂ ਉਦਾਹਰਨਾਂ C, C++ (gcc ਅਤੇ clang), C#, JavaScript (Node.js), Java (OpenJDK 16), Rust, Go ਅਤੇ Python ਲਈ ਸਪਲਾਈ ਕੀਤੇ ਗਏ ਵੱਖ-ਵੱਖ ਕੰਪਾਈਲਰ ਅਤੇ ਦੁਭਾਸ਼ੀਏ ਲਈ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ।

ਵਿਧੀ ਕੋਡ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਯੂਨੀਕੋਡ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ 'ਤੇ ਅਧਾਰਤ ਹੈ ਜੋ ਦੋ-ਦਿਸ਼ਾਵੀ ਟੈਕਸਟ ਦੇ ਡਿਸਪਲੇ ਕ੍ਰਮ ਨੂੰ ਬਦਲਦੀਆਂ ਹਨ। ਅਜਿਹੇ ਨਿਯੰਤਰਣ ਅੱਖਰਾਂ ਦੀ ਮਦਦ ਨਾਲ, ਟੈਕਸਟ ਦੇ ਕੁਝ ਹਿੱਸੇ ਖੱਬੇ ਤੋਂ ਸੱਜੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਦੂਜੇ - ਸੱਜੇ ਤੋਂ ਖੱਬੇ। ਰੋਜ਼ਾਨਾ ਅਭਿਆਸ ਵਿੱਚ, ਅਜਿਹੇ ਨਿਯੰਤਰਣ ਅੱਖਰ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਫਾਈਲ ਵਿੱਚ ਹਿਬਰੂ ਜਾਂ ਅਰਬੀ ਵਿੱਚ ਕੋਡ ਲਾਈਨਾਂ ਪਾਉਣ ਲਈ। ਪਰ ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਲਾਈਨ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਟੈਕਸਟ ਦਿਸ਼ਾਵਾਂ ਨਾਲ ਲਾਈਨਾਂ ਨੂੰ ਜੋੜਦੇ ਹੋ, ਨਿਰਧਾਰਤ ਅੱਖਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਸੱਜੇ ਤੋਂ ਖੱਬੇ ਪ੍ਰਦਰਸ਼ਿਤ ਟੈਕਸਟ ਦੇ ਅੰਸ਼ ਖੱਬੇ ਤੋਂ ਸੱਜੇ ਪ੍ਰਦਰਸ਼ਿਤ ਮੌਜੂਦਾ ਨਿਯਮਤ ਟੈਕਸਟ ਨੂੰ ਓਵਰਲੈਪ ਕਰ ਸਕਦੇ ਹਨ।

ਇਸ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਤੁਸੀਂ ਕੋਡ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਕੰਸਟ੍ਰਕਸ਼ਨ ਸ਼ਾਮਲ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਫਿਰ ਕੋਡ ਨੂੰ ਦੇਖਦੇ ਸਮੇਂ ਇਸ ਰਚਨਾ ਦੇ ਨਾਲ ਟੈਕਸਟ ਨੂੰ ਅਦਿੱਖ ਬਣਾਉ, ਹੇਠਾਂ ਦਿੱਤੀ ਟਿੱਪਣੀ ਵਿੱਚ ਜਾਂ ਸੱਜੇ ਤੋਂ ਖੱਬੇ ਦਿਖਾਏ ਗਏ ਅੱਖਰ ਅੱਖਰਾਂ ਦੇ ਅੰਦਰ ਜੋੜ ਕੇ, ਜੋ ਪੂਰੀ ਤਰ੍ਹਾਂ ਨਾਲ ਖਤਰਨਾਕ ਸੰਮਿਲਨ 'ਤੇ ਵੱਖ-ਵੱਖ ਅੱਖਰ ਲਗਾਏ ਜਾ ਰਹੇ ਹਨ। ਅਜਿਹਾ ਕੋਡ ਅਰਥ ਪੱਖੋਂ ਸਹੀ ਰਹੇਗਾ, ਪਰ ਵਿਆਖਿਆ ਕੀਤੀ ਜਾਵੇਗੀ ਅਤੇ ਵੱਖਰੇ ਢੰਗ ਨਾਲ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਜਾਵੇਗੀ।

ਕੋਡ ਦੀ ਸਮੀਖਿਆ ਕਰਦੇ ਸਮੇਂ, ਇੱਕ ਡਿਵੈਲਪਰ ਨੂੰ ਅੱਖਰਾਂ ਦੇ ਵਿਜ਼ੂਅਲ ਆਰਡਰ ਦਾ ਸਾਹਮਣਾ ਕੀਤਾ ਜਾਵੇਗਾ ਅਤੇ ਇੱਕ ਆਧੁਨਿਕ ਟੈਕਸਟ ਐਡੀਟਰ, ਵੈਬ ਇੰਟਰਫੇਸ ਜਾਂ IDE ਵਿੱਚ ਇੱਕ ਗੈਰ-ਸ਼ੱਕੀ ਟਿੱਪਣੀ ਦੇਖਣ ਨੂੰ ਮਿਲੇਗਾ, ਪਰ ਕੰਪਾਈਲਰ ਅਤੇ ਦੁਭਾਸ਼ੀਏ ਅੱਖਰਾਂ ਦੇ ਤਰਕ ਕ੍ਰਮ ਦੀ ਵਰਤੋਂ ਕਰਨਗੇ ਅਤੇ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਦੋ-ਦਿਸ਼ਾਵੀ ਟੈਕਸਟ ਵੱਲ ਧਿਆਨ ਦਿੱਤੇ ਬਿਨਾਂ, ਖਤਰਨਾਕ ਸੰਮਿਲਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰੋ। ਸਮੱਸਿਆ ਵੱਖ-ਵੱਖ ਪ੍ਰਸਿੱਧ ਕੋਡ ਸੰਪਾਦਕਾਂ (VS ਕੋਡ, Emacs, Atom), ਅਤੇ ਨਾਲ ਹੀ ਰਿਪੋਜ਼ਟਰੀਆਂ (GitHub, Gitlab, BitBucket ਅਤੇ ਸਾਰੇ Atlassian ਉਤਪਾਦ) ਵਿੱਚ ਕੋਡ ਦੇਖਣ ਲਈ ਇੰਟਰਫੇਸਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ।

ਖਤਰਨਾਕ ਕਾਰਵਾਈਆਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਕਈ ਤਰੀਕੇ ਹਨ: ਇੱਕ ਲੁਕਵੇਂ "ਵਾਪਸੀ" ਸਮੀਕਰਨ ਨੂੰ ਜੋੜਨਾ, ਜੋ ਸਮੇਂ ਤੋਂ ਪਹਿਲਾਂ ਫੰਕਸ਼ਨ ਨੂੰ ਪੂਰਾ ਕਰਨ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ; ਸਮੀਕਰਨਾਂ 'ਤੇ ਟਿੱਪਣੀ ਕਰਨਾ ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਵੈਧ ਨਿਰਮਾਣ ਵਜੋਂ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ (ਉਦਾਹਰਨ ਲਈ, ਮਹੱਤਵਪੂਰਨ ਜਾਂਚਾਂ ਨੂੰ ਅਸਮਰੱਥ ਬਣਾਉਣ ਲਈ); ਹੋਰ ਸਤਰ ਮੁੱਲ ਨਿਰਧਾਰਤ ਕਰਨਾ ਜੋ ਸਟ੍ਰਿੰਗ ਪ੍ਰਮਾਣਿਕਤਾ ਅਸਫਲਤਾਵਾਂ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ।

ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਹਮਲਾਵਰ ਇੱਕ ਤਬਦੀਲੀ ਦਾ ਪ੍ਰਸਤਾਵ ਕਰ ਸਕਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਲਾਈਨ ਸ਼ਾਮਲ ਹੈ: if access_level != "user{U+202E} {U+2066}// ਜਾਂਚ ਕਰੋ ਕਿ ਕੀ ਪ੍ਰਸ਼ਾਸਕ{U+2069} {U+2066}" {

ਜੋ ਕਿ ਸਮੀਖਿਆ ਇੰਟਰਫੇਸ ਵਿੱਚ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤਾ ਜਾਵੇਗਾ ਜਿਵੇਂ ਕਿ access_level != “ਉਪਭੋਗਤਾ” { // ਜਾਂਚ ਕਰੋ ਕਿ ਕੀ ਪ੍ਰਸ਼ਾਸਕ

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇੱਕ ਹੋਰ ਹਮਲਾਵਰ ਰੂਪ (CVE-2021-42694) ਪ੍ਰਸਤਾਵਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਹੋਮੋਗਲਿਫਸ ਦੀ ਵਰਤੋਂ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ, ਅੱਖਰ ਜੋ ਦਿੱਖ ਵਿੱਚ ਇੱਕੋ ਜਿਹੇ ਹਨ, ਪਰ ਅਰਥ ਵਿੱਚ ਵੱਖਰੇ ਹਨ ਅਤੇ ਵੱਖੋ ਵੱਖਰੇ ਯੂਨੀਕੋਡ ਕੋਡ ਹਨ (ਉਦਾਹਰਨ ਲਈ, ਅੱਖਰ “ɑ” ਵਰਗਾ ਹੈ। a”, “ɡ” - “g”, “ɩ” - “l”)। ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਗੁੰਮਰਾਹ ਕਰਨ ਲਈ ਕੁਝ ਭਾਸ਼ਾਵਾਂ ਵਿੱਚ ਫੰਕਸ਼ਨਾਂ ਅਤੇ ਵੇਰੀਏਬਲਾਂ ਦੇ ਨਾਮ ਵਿੱਚ ਸਮਾਨ ਅੱਖਰ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਵੱਖ-ਵੱਖ ਨਾਵਾਂ ਵਾਲੇ ਦੋ ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੋ ਵੱਖ-ਵੱਖ ਕਿਰਿਆਵਾਂ ਕਰਦੇ ਹਨ। ਇੱਕ ਵਿਸਤ੍ਰਿਤ ਵਿਸ਼ਲੇਸ਼ਣ ਤੋਂ ਬਿਨਾਂ, ਇਹ ਤੁਰੰਤ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੁੰਦਾ ਹੈ ਕਿ ਇਹਨਾਂ ਦੋ ਫੰਕਸ਼ਨਾਂ ਵਿੱਚੋਂ ਕਿਸ ਨੂੰ ਇੱਕ ਖਾਸ ਸਥਾਨ ਵਿੱਚ ਕਿਹਾ ਜਾਂਦਾ ਹੈ।

ਸੁਰੱਖਿਆ ਉਪਾਅ ਦੇ ਤੌਰ 'ਤੇ, ਇਹ ਸਿਫ਼ਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਕੰਪਾਈਲਰ, ਦੁਭਾਸ਼ੀਏ, ਅਤੇ ਅਸੈਂਬਲੀ ਟੂਲ ਜੋ ਯੂਨੀਕੋਡ ਅੱਖਰਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ, ਇੱਕ ਗਲਤੀ ਜਾਂ ਚੇਤਾਵਨੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦੇ ਹਨ ਜੇਕਰ ਟਿੱਪਣੀਆਂ, ਸਟ੍ਰਿੰਗ ਲਿਟਰਲ, ਜਾਂ ਆਉਟਪੁੱਟ ਦੀ ਦਿਸ਼ਾ ਬਦਲਣ ਵਾਲੇ ਪਛਾਣਕਰਤਾਵਾਂ ਵਿੱਚ ਅਨਪੇਅਰਡ ਕੰਟਰੋਲ ਅੱਖਰ ਹਨ (U+202A, U+202B, U+202C, U+202D, U+202E, U+2066, U+2067, U+2068, U+2069, U+061C, U+200E ਅਤੇ U+200F)। ਅਜਿਹੇ ਅੱਖਰਾਂ ਨੂੰ ਪ੍ਰੋਗ੍ਰਾਮਿੰਗ ਭਾਸ਼ਾ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਵਿੱਚ ਵੀ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਮਨਾਹੀ ਕੀਤੀ ਜਾਣੀ ਚਾਹੀਦੀ ਹੈ ਅਤੇ ਕੋਡ ਸੰਪਾਦਕਾਂ ਅਤੇ ਰਿਪੋਜ਼ਟਰੀ ਇੰਟਰਫੇਸਾਂ ਵਿੱਚ ਸਤਿਕਾਰਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਜੋੜ 1: GCC, LLVM/Clang, Rust, Go, Python ਅਤੇ binutils ਲਈ ਕਮਜ਼ੋਰੀ ਵਾਲੇ ਪੈਚ ਤਿਆਰ ਕੀਤੇ ਗਏ ਹਨ। GitHub, Bitbucket ਅਤੇ Jira ਨੇ ਵੀ ਇਸ ਮੁੱਦੇ ਨੂੰ ਹੱਲ ਕੀਤਾ। GitLab ਲਈ ਇੱਕ ਫਿਕਸ ਪ੍ਰਗਤੀ ਵਿੱਚ ਹੈ। ਸਮੱਸਿਆ ਵਾਲੇ ਕੋਡ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ, ਇਹ ਕਮਾਂਡ ਵਰਤਣ ਦਾ ਸੁਝਾਅ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ: grep -r $'[\u061C\u200E\u200F\u202A\u202B\u202C\u202D\u202E\u2066\u2067\u2068\u2069/' ਸਰੋਤ

ਅਡੈਂਡਮ 2: ਰੱਸ ਕੋਕਸ, ਪਲੈਨ 9 ਓਐਸ ਅਤੇ ਗੋ ਪ੍ਰੋਗਰਾਮਿੰਗ ਭਾਸ਼ਾ ਦੇ ਵਿਕਾਸਕਾਰਾਂ ਵਿੱਚੋਂ ਇੱਕ, ਨੇ ਵਰਣਿਤ ਹਮਲਾ ਵਿਧੀ ਵੱਲ ਬਹੁਤ ਜ਼ਿਆਦਾ ਧਿਆਨ ਦੇਣ ਦੀ ਆਲੋਚਨਾ ਕੀਤੀ, ਜੋ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਜਾਣੀ ਜਾਂਦੀ ਹੈ (ਗੋ, ਰਸਟ, ਸੀ++, ਰੂਬੀ) ਅਤੇ ਇਸ ਨੂੰ ਗੰਭੀਰਤਾ ਨਾਲ ਨਹੀਂ ਲਿਆ ਗਿਆ ਸੀ। . ਕੌਕਸ ਦੇ ਅਨੁਸਾਰ, ਸਮੱਸਿਆ ਮੁੱਖ ਤੌਰ 'ਤੇ ਕੋਡ ਐਡੀਟਰਾਂ ਅਤੇ ਵੈਬ ਇੰਟਰਫੇਸਾਂ ਵਿੱਚ ਜਾਣਕਾਰੀ ਦੇ ਸਹੀ ਪ੍ਰਦਰਸ਼ਨ ਨਾਲ ਸਬੰਧਤ ਹੈ, ਜਿਸ ਨੂੰ ਸਮੀਖਿਆ ਦੇ ਦੌਰਾਨ ਸਹੀ ਟੂਲਸ ਅਤੇ ਕੋਡ ਐਨਾਲਾਈਜ਼ਰ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਹੱਲ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਇਸ ਲਈ, ਸੱਟੇਬਾਜ਼ੀ ਦੇ ਹਮਲਿਆਂ ਵੱਲ ਧਿਆਨ ਖਿੱਚਣ ਦੀ ਬਜਾਏ, ਕੋਡ ਅਤੇ ਨਿਰਭਰਤਾ ਸਮੀਖਿਆ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨਾ ਵਧੇਰੇ ਉਚਿਤ ਹੋਵੇਗਾ।

ਰਾਸ ਕਾਕਸ ਇਹ ਵੀ ਮੰਨਦਾ ਹੈ ਕਿ ਕੰਪਾਈਲਰ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਸਹੀ ਜਗ੍ਹਾ ਨਹੀਂ ਹਨ, ਕਿਉਂਕਿ ਕੰਪਾਈਲਰ ਪੱਧਰ 'ਤੇ ਖਤਰਨਾਕ ਚਿੰਨ੍ਹਾਂ 'ਤੇ ਪਾਬੰਦੀ ਲਗਾਉਣ ਨਾਲ, ਸਾਧਨਾਂ ਦੀ ਇੱਕ ਵੱਡੀ ਪਰਤ ਰਹਿੰਦੀ ਹੈ ਜਿਸ ਵਿੱਚ ਇਹਨਾਂ ਚਿੰਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਸਵੀਕਾਰਯੋਗ ਰਹਿੰਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਬਿਲਡ ਸਿਸਟਮ, ਅਸੈਂਬਲਰ, ਪੈਕੇਜ ਮੈਨੇਜਰ ਅਤੇ ਵੱਖ-ਵੱਖ ਸੰਰਚਨਾ ਪਾਰਸਰ ਅਤੇ ਡੇਟਾ। ਇੱਕ ਉਦਾਹਰਨ ਦੇ ਤੌਰ 'ਤੇ, Rust ਪ੍ਰੋਜੈਕਟ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਜਿਸ ਨੇ ਕੰਪਾਈਲਰ ਵਿੱਚ LTR/RTL ਕੋਡ ਦੀ ਪ੍ਰੋਸੈਸਿੰਗ ਦੀ ਮਨਾਹੀ ਕੀਤੀ ਹੈ, ਪਰ ਕਾਰਗੋ ਪੈਕੇਜ ਮੈਨੇਜਰ ਵਿੱਚ ਕੋਈ ਫਿਕਸ ਨਹੀਂ ਜੋੜਿਆ, ਜੋ Cargo.toml ਫਾਈਲ ਦੁਆਰਾ ਇੱਕ ਸਮਾਨ ਹਮਲੇ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਸੇ ਤਰ੍ਹਾਂ, BUILD.bazel, CMakefile, Cargo.toml, Dockerfile, GNUmakefile, Makefile, go.mod, package.json, pom.xml ਅਤੇ requirements.txt ਵਰਗੀਆਂ ਫਾਈਲਾਂ ਹਮਲਿਆਂ ਦਾ ਸਰੋਤ ਬਣ ਸਕਦੀਆਂ ਹਨ।

ਸਰੋਤ: opennet.ru