ಇತ್ತೀಚೆಗೆ ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಹೊಸ ಶೋಷಣೆಯನ್ನು ಕಂಡುಹಿಡಿದನು ಅದು ಅಪರಿಚಿತ ನ್ಯೂನತೆಯ ಲಾಭವನ್ನು ಪಡೆದುಕೊಂಡಿತು Chrome ನಲ್ಲಿ, ಗೂಗಲ್ ದೃ has ಪಡಿಸಿದೆ ಶೂನ್ಯ-ದಿನದ ದುರ್ಬಲತೆ ನಿಮ್ಮ ಬ್ರೌಸರ್‌ನಲ್ಲಿ ಮತ್ತು ಅದನ್ನು ಈಗಾಗಲೇ ಪಟ್ಟಿ ಮಾಡಲಾಗಿದೆ ಸಿವಿಇ -2019-13720.
ಈ ದುರ್ಬಲತೆ ಹೋಲುವ ಇಂಜೆಕ್ಷನ್ ಬಳಸಿ ದಾಳಿಯನ್ನು ಬಳಸಿ ಬಳಸಿಕೊಳ್ಳಬಹುದು ಒಂದು ದಾಳಿ "ನೀರಿನ ರಂಧ್ರ". ಈ ರೀತಿಯ ದಾಳಿಯು ಪರಭಕ್ಷಕವನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಅದು ಬೇಟೆಯನ್ನು ಹುಡುಕುವ ಬದಲು, ಅದು ಬರುವುದು ಖಚಿತವಾದ ಸ್ಥಳದಲ್ಲಿ ಕಾಯಲು ಆದ್ಯತೆ ನೀಡುತ್ತದೆ (ಈ ಸಂದರ್ಭದಲ್ಲಿ, ಕುಡಿಯಲು ನೀರಿನ ಒಂದು ಹಂತದಲ್ಲಿ).
ರಿಂದ ಕೊರಿಯಾದ ಮಾಹಿತಿ ಪೋರ್ಟಲ್ನಲ್ಲಿ ಈ ದಾಳಿಯನ್ನು ಕಂಡುಹಿಡಿಯಲಾಗಿದೆ, ಇದರಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಕೋಡ್ ಅನ್ನು ಮುಖ್ಯ ಪುಟಕ್ಕೆ ಸೇರಿಸಲಾಗಿದೆ, ಅದು ದೂರಸ್ಥ ಸೈಟ್‌ನಿಂದ ಪ್ರೊಫೈಲಿಂಗ್ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಲೋಡ್ ಮಾಡುತ್ತದೆ.
ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ಕೋಡ್‌ನ ಸಣ್ಣ ಒಳಸೇರಿಸುವಿಕೆಯನ್ನು ವೆಬ್ ಪುಟದ ಸೂಚ್ಯಂಕದಲ್ಲಿ ಇರಿಸಲಾಗಿದೆ ಇದು ದೂರಸ್ಥ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಲೋಡ್ ಮಾಡಿದೆ code.jquery.cdn.behindcrown
ಸ್ಕ್ರಿಪ್ಟ್ ನಂತರ ಮತ್ತೊಂದು ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಲೋಡ್ ಮಾಡುತ್ತದೆ. ಬ್ರೌಸರ್‌ನ ಬಳಕೆದಾರ ಏಜೆಂಟರೊಂದಿಗೆ ಹೋಲಿಕೆ ಮಾಡುವ ಮೂಲಕ ಬಲಿಪಶುವಿನ ವ್ಯವಸ್ಥೆಗೆ ಸೋಂಕು ತಗುಲಿದೆಯೇ ಎಂದು ಈ ಸ್ಕ್ರಿಪ್ಟ್ ಪರಿಶೀಲಿಸುತ್ತದೆ, ಇದು ವಿಂಡೋಸ್‌ನ 64-ಬಿಟ್ ಆವೃತ್ತಿಯಲ್ಲಿ ಚಾಲನೆಯಲ್ಲಿರಬೇಕು ಮತ್ತು WOW64 ಪ್ರಕ್ರಿಯೆಯಾಗಿರಬಾರದು.
ಸಹ ಬ್ರೌಸರ್‌ನ ಹೆಸರು ಮತ್ತು ಆವೃತ್ತಿಯನ್ನು ಪಡೆಯಲು ಪ್ರಯತ್ನಿಸಿ. ದುರ್ಬಲತೆಯು ಗೂಗಲ್ ಕ್ರೋಮ್ ಬ್ರೌಸರ್‌ನಲ್ಲಿನ ದೋಷವನ್ನು ಬಳಸಿಕೊಳ್ಳಲು ಪ್ರಯತ್ನಿಸುತ್ತದೆ ಮತ್ತು ಆವೃತ್ತಿಯು 65 ಕ್ಕಿಂತ ದೊಡ್ಡದಾಗಿದ್ದರೆ ಅಥವಾ ಸಮನಾಗಿದೆಯೇ ಎಂದು ಸ್ಕ್ರಿಪ್ಟ್ ಪರಿಶೀಲಿಸುತ್ತದೆ (ಕ್ರೋಮ್‌ನ ಪ್ರಸ್ತುತ ಆವೃತ್ತಿ 78 ಆಗಿದೆ).
Chrome ಆವೃತ್ತಿಯು ಪ್ರೊಫೈಲಿಂಗ್ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ. ಬ್ರೌಸರ್ ಆವೃತ್ತಿಯನ್ನು ಮೌಲ್ಯೀಕರಿಸಿದರೆ, ಸ್ಕ್ರಿಪ್ಟ್ ಅಜಾಕ್ಸ್ ವಿನಂತಿಗಳ ಸರಣಿಯನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸಲು ಪ್ರಾರಂಭಿಸುತ್ತದೆ ಆಕ್ರಮಣಕಾರರ ನಿಯಂತ್ರಿತ ಸರ್ವರ್‌ನಲ್ಲಿ, ಅಲ್ಲಿ ಒಂದು ಮಾರ್ಗದ ಹೆಸರು ಸ್ಕ್ರಿಪ್ಟ್‌ಗೆ ರವಾನಿಸಲಾದ ವಾದವನ್ನು ಸೂಚಿಸುತ್ತದೆ.
ಮೊದಲ ವಿನಂತಿ ಅಗತ್ಯ ನಂತರದ ಬಳಕೆಗಾಗಿ ಪ್ರಮುಖ ಮಾಹಿತಿಗಾಗಿ. ಈ ಮಾಹಿತಿಯು ಸರ್ವರ್‌ನಿಂದ ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು ನಿಜವಾದ ಶೋಷಣೆ ಕೋಡ್‌ನ ಎಷ್ಟು ಭಾಗಗಳನ್ನು ಸ್ಕ್ರಿಪ್ಟ್‌ಗೆ ತಿಳಿಸುವ ಬಹು ಹೆಕ್ಸ್ ಎನ್‌ಕೋಡೆಡ್ ತಂತಿಗಳನ್ನು ಒಳಗೊಂಡಿದೆ, ಜೊತೆಗೆ ಅಂತಿಮ ಅಪ್‌ಲೋಡ್‌ಗಾಗಿ ಕೀಲಿಯನ್ನು ಒಳಗೊಂಡಿರುವ ಇಮೇಜ್ ಫೈಲ್‌ಗೆ URL ಮತ್ತು ಭಾಗಗಳನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಲು ಆರ್‌ಸಿ 4 ಕೀ ಅನ್ನು ಒಳಗೊಂಡಿದೆ. ಕೋಡ್. ಶೋಷಣೆಯ.
ಹೆಚ್ಚಿನ ಕೋಡ್ ನಿರ್ದಿಷ್ಟ ದುರ್ಬಲ ಬ್ರೌಸರ್ ಘಟಕಕ್ಕೆ ಸಂಬಂಧಿಸಿದ ವಿವಿಧ ತರಗತಿಗಳನ್ನು ಬಳಸುತ್ತದೆ. ಬರೆಯುವ ಸಮಯದಲ್ಲಿ ಈ ದೋಷವನ್ನು ಇನ್ನೂ ಸರಿಪಡಿಸಲಾಗಿಲ್ಲವಾದ್ದರಿಂದ, ನಿರ್ದಿಷ್ಟ ದುರ್ಬಲ ಘಟಕದ ಬಗ್ಗೆ ವಿವರಗಳನ್ನು ಸೇರಿಸದಿರಲು ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ನಿರ್ಧರಿಸಿದ್ದಾರೆ.
ಶೆಲ್ಕೋಡ್ ಬ್ಲಾಕ್ ಮತ್ತು ಎಂಬೆಡೆಡ್ ಪಿಇ ಚಿತ್ರವನ್ನು ಪ್ರತಿನಿಧಿಸುವ ಸಂಖ್ಯೆಗಳೊಂದಿಗೆ ಕೆಲವು ದೊಡ್ಡ ಕೋಷ್ಟಕಗಳಿವೆ.
ಶೋಷಣೆ ಸರಿಯಾದ ಸಮಯದ ಕೊರತೆಯಿಂದಾಗಿ ಎರಡು ಎಳೆಗಳ ನಡುವೆ ರೇಸ್ ಷರತ್ತು ದೋಷವನ್ನು ಬಳಸಲಾಗಿದೆ ಅವುಗಳಲ್ಲಿ. ಇದು ಆಕ್ರಮಣಕಾರರಿಗೆ ಬಿಡುಗಡೆಯ ನಂತರದ (ಯುಎಎಫ್) ಸ್ಥಿತಿಯನ್ನು ಬಹಳ ಅಪಾಯಕಾರಿಯಾದ ಕಾರಣ ನೀಡುತ್ತದೆ ಏಕೆಂದರೆ ಇದು ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಸನ್ನಿವೇಶಗಳಿಗೆ ಕಾರಣವಾಗಬಹುದು, ಇದು ಈ ಸಂದರ್ಭದಲ್ಲಿ ನಿಖರವಾಗಿ ಏನಾಗುತ್ತದೆ.
ಶೋಷಣೆ ಮೊದಲು ಯುಎಎಫ್ ಪ್ರಮುಖ ಮಾಹಿತಿಯನ್ನು ಕಳೆದುಕೊಳ್ಳುವಂತೆ ಮಾಡುತ್ತದೆ 64-ಬಿಟ್ ವಿಳಾಸ (ಪಾಯಿಂಟರ್‌ನಂತೆ). ಇದು ಹಲವಾರು ವಿಷಯಗಳಿಗೆ ಕಾರಣವಾಗುತ್ತದೆ:
- ವಿಳಾಸವನ್ನು ಯಶಸ್ವಿಯಾಗಿ ಬಹಿರಂಗಪಡಿಸಿದರೆ, ಶೋಷಣೆ ಸರಿಯಾಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಿದೆ ಎಂದರ್ಥ
- ರಾಶಿ / ಸ್ಟ್ಯಾಕ್ ಎಲ್ಲಿದೆ ಎಂಬುದನ್ನು ಕಂಡುಹಿಡಿಯಲು ಬಹಿರಂಗ ವಿಳಾಸವನ್ನು ಬಳಸಲಾಗುತ್ತದೆ ಮತ್ತು ಅದು ವಿಳಾಸ ಸ್ಪೇಸ್ ಫಾರ್ಮ್ಯಾಟ್ ರಾಂಡಮೈಜೇಶನ್ (ಎಎಸ್ಎಲ್ಆರ್) ತಂತ್ರವನ್ನು ಅತಿಕ್ರಮಿಸುತ್ತದೆ
- ಈ ದಿಕ್ಕಿನ ಹತ್ತಿರ ನೋಡುವ ಮೂಲಕ ಹೆಚ್ಚಿನ ಶೋಷಣೆಗಾಗಿ ಕೆಲವು ಇತರ ಉಪಯುಕ್ತ ಪಾಯಿಂಟರ್‌ಗಳನ್ನು ಕಂಡುಹಿಡಿಯಬಹುದು.
ಅದರ ನಂತರ, ನೀವು ಪುನರಾವರ್ತಿತ ಕಾರ್ಯವನ್ನು ಬಳಸಿಕೊಂಡು ವಸ್ತುಗಳ ದೊಡ್ಡ ಗುಂಪನ್ನು ರಚಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತೀರಿ. ನಿರ್ಣಾಯಕ ರಾಶಿ ವಿನ್ಯಾಸವನ್ನು ರಚಿಸಲು ಇದನ್ನು ಮಾಡಲಾಗುತ್ತದೆ, ಇದು ಯಶಸ್ವಿ ಶೋಷಣೆಗೆ ಮುಖ್ಯವಾಗಿದೆ.
ಅದೇ ಸಮಯದಲ್ಲಿ, ಯುಎಎಫ್ ಭಾಗದಲ್ಲಿ ಈ ಹಿಂದೆ ಬಿಡುಗಡೆಯಾದ ಅದೇ ಪಾಯಿಂಟರ್ ಅನ್ನು ಮರುಬಳಕೆ ಮಾಡುವ ಗುರಿಯನ್ನು ಹೊಂದಿರುವ ರಾಶಿ-ಸಿಂಪಡಿಸುವ ತಂತ್ರವನ್ನು ಬಳಸಲು ನೀವು ಪ್ರಯತ್ನಿಸುತ್ತಿದ್ದೀರಿ.
ಒಂದೇ ರೀತಿಯ ಮೆಮೊರಿ ಪ್ರದೇಶದಲ್ಲಿದ್ದರೂ ಸಹ, ದಾಳಿಕೋರರಿಗೆ ಎರಡು ವಿಭಿನ್ನ ವಸ್ತುಗಳ ಮೇಲೆ (ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್ ದೃಷ್ಟಿಕೋನದಿಂದ) ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಗೊಂದಲಗೊಳಿಸಲು ಮತ್ತು ನೀಡಲು ಈ ಟ್ರಿಕ್ ಅನ್ನು ಬಳಸಬಹುದು.
ಗೂಗಲ್ ಕ್ರೋಮ್ ನವೀಕರಣವನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿದೆ ಇದು ವಿಂಡೋಸ್, ಮ್ಯಾಕೋಸ್ ಮತ್ತು ಲಿನಕ್ಸ್‌ನಲ್ಲಿನ ನ್ಯೂನತೆಯನ್ನು ಪರಿಹರಿಸುತ್ತದೆ ಮತ್ತು ಕ್ರೋಮ್ ಆವೃತ್ತಿ 78.0.3904.87 ಗೆ ನವೀಕರಿಸಲು ಬಳಕೆದಾರರನ್ನು ಪ್ರೋತ್ಸಾಹಿಸಲಾಗುತ್ತದೆ.