RIGHT-TO-LEFT OVERRIDE и почему он опасен

В мобильном приложении пост отображается некорректно


Для начала вот вам безобидный пример его использования


Half Life 3 слили на торренты

https://youtu.be/dQw4w9WgXcQ#tnerrot/gro.yabetaripeht


Вот уже не настолько безобидный пример

RIGHT-TO-LEFT OVERRIDE и почему он опасен Безопасность, Unicode, Rlo, Длиннопост

Одна из этих картинок на самом деле не картинка, а исполняемый файл

Методом внимательного (очень-очень внимательного) вглядывания вы сможете найти что тут не так, но в 99% случаев вы не заметите подвоха


Как это работает


RIGHT-TO-LEFT OVERRIDE - это управляющий символ Unicode который указывает что все следующие за ним символы должны отображается справа налево (как арабский текст)

Нужна эта вещь как раз для того чтобы выводить арабский (и т.д.) текст

Так как это управляющий символ сам по себе он не отображается


Но то что текст выводится в обратном порядке означает что программы будут анализировать текст не в таком порядке в каком его видим мы

Вот где то так мы можем видеть текст

87654321

А так его будет воспринимать система

*12345678 ( * - это тот самый символ RIGHT-TO-LEFT OVERRIDE )


Таким образом ссылка вида

https://youtu.be/dQw4w9WgXcQ#tnerrot/gro.yabetaripeht

видна системе как *https://youtu.be/dQw4w9WgXcQ#tnerrot/gro.yabetaripeht (что абсолютно нормально воспринимается пикабу как ссылка на ютуб)


Также можно сделать и посреди имени файла превратив asdhkjbnasgnp.exe

в asdhkjbnas‮gnp.exe

но опять же система воспринимает его как asdhkjbnas*gnp.exe

и хоть мы видим что расширение png на самом деле система запустит его как exe файл


Таким образом вы можете случайно перейти не на тот сайт или открыть вместо картинки\документа\и т.д. exe или любой другой файл

Из моего опыта могу сказать что все вышеперечисленное работает на:

Windows любой версии (по крайней мере начиная с 7й так точно)

Большинстве браузеров (работает вариант со ссылкой, если попытаетесь скачать исполняемый файл браузер вас предупредит что это опасно)

Но не работает в архиваторах (там вместо управляющего символа выводиться прямоугольник, и направление текста не изменяется, хотя я очевидно не во всех архиваторах тестил)


Мораль сего поста такова:

Внимательно смотрите на каком сайте вы вводите пароли и есть ли шифрование

Внимательно смотрите какие файлы вы открываете на компьютере

@moderator @admin надеюсь на этот раз вы это увидите и все таки запретите использовать этот символ на пикабу

Информационная безопасность IT

1.4K постов25.5K подписчиков

Добавить пост

Правила сообщества

Обязательно к прочтению для авторов:

1. Если вы добавляете пост, утверждающий об утечке данных или наличии дыр в системе, предоставьте ссылку на источники или технически подкованное расследование. Посты из разряда "Какой-то банк слил данные, потому что мне звонили мошенники" будут выноситься в общую ленту.
2. Все вопросы "Как обезопасить сервер\приложение\устройство" - в лигу "Компьютер это просто".

Обязательно к прочтению для всех:

Добавление ссылки разрешено если она не содержит описание коммерческих (платных) продуктов и/или идентификаторов для отслеживания перехода и для доступа не нужен пароль или оплата в т.ч. интернет-ресурсы, каналы (от 3-х тематических видео), блоги, группы, сообщества, СМИ и т.д.


Запрещены политические holy wars.

По решению модератора или администратора сообщества пользователь будет забанен за:

1. Флуд и оскорбление пользователя, в т.ч. провокация спора, флуда, холивара (высказывание без аргументации о конкретной применимости конкретного решения в конкретной ситуации), требование уже данного ответа, распространение сведений порочащих честь и репутацию, принижающих квалификацию оппонента, переходы на личности.

2. Публикацию поста/комментария не соответствующего тематике сообщества, в том числе обсуждение администраторов и модераторов сообщества, для этого есть специальное сообщество.

3. За обвинение в киберпреступной деятельности.

4. За нарушение прочих Правил Пикабу.

Вы смотрите срез комментариев. Показать все
61
Автор поста оценил этот комментарий

а халва то третья где?

раскрыть ветку (9)
35
Автор поста оценил этот комментарий
В эротических фантазиях фанатов.
раскрыть ветку (3)
41
Автор поста оценил этот комментарий
Иллюстрация к комментарию
раскрыть ветку (2)
1
Автор поста оценил этот комментарий

если он обоими руками держит "рокетки" с этими порталами, то кто тогда суёт в них пальцы...

раскрыть ветку (1)
7
Автор поста оценил этот комментарий
Это шутка про тот контроллер
11
Автор поста оценил этот комментарий

Да как так-то?

Иллюстрация к комментарию
раскрыть ветку (4)
9
Автор поста оценил этот комментарий

Переезжай из Ингрии назад в Питер.

раскрыть ветку (3)
2
Автор поста оценил этот комментарий

не помогло(

раскрыть ветку (2)
Автор поста оценил этот комментарий

а ты откуда?

раскрыть ветку (1)
Автор поста оценил этот комментарий

Спб

Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку