Nowy backdoor w JavaScript: Co musisz wiedzieć!
Nowy backdoor w JavaScript: Co musisz wiedzieć!
Badacze odkryli nowy, niewidzialny backdoor w JavaScript, który może zagrażać bezpieczeństwu aplikacji webowych. Wykorzystując technikę polegającą na dodaniu znaku Hangul Filler do parametrów zapytania, można uzyskać dostęp do niebezpiecznych funkcji systemowych.
Przykład wykorzystania tej sztuczki pokazuje, że zmienna req.query może zawierać nie tylko standardowe parametry, ale również ukryte znaki. Na przykład, w tablicy checkCommands znajdziemy zmienną zawierającą polecenia, które mogą być wykonane w systemie operacyjnym.
W przypadku użycia funkcji exec w JavaScript, wystarczy dodać parametr do adresu endpointa, aby wykonać złośliwe polecenia. Choć atakujący może uruchomić komendy, niestety, nie uzyskuje on outputu, co ogranicza jego możliwości.
Na podstawie: Źródła
