Backdoor JavaScript yang tidak kelihatan

Satu eksploitasi yang hampir tidak dapat dikesan. Wolfgang Ettlinger menimbulkan persoalan: Bagaimana jika backdoor secara harfiah tidak kelihatan, mengelak walaupun ulasan kod yang paling menyeluruh?

Imej di bawah menyoroti eksploit dalam kod. Walaupun dengan pemeriksaan yang rapat, mudah untuk diabaikan. Ini kerana eksploit menghindari kesilapan linting dan tidak mengganggu penonjolan sintaks.

Kaedah pelaksanaan adalah halus: arahan keras, bersama-sama dengan mana-mana parameter yang dibekalkan pengguna, diluluskan sebagai elemen dalam array ke fungsi exec . Fungsi ini kemudian melaksanakan arahan OS.

Penyelesaian yang dicadangkan oleh pasukan Cambridge menangani kelemahan ini: menyekat aksara unicode bidirectional. Walau bagaimanapun, sebagai contoh ini menunjukkan, serangan homoglif dan watak -watak yang tidak kelihatan memberikan ancaman yang berterusan.

Atas ialah kandungan terperinci Backdoor JavaScript yang tidak kelihatan. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!