জাভাস্ক্রিপ্ট অবফাসকেটর কী কাজ করে?
একটি জাভাস্ক্রিপ্ট অবফাসকেটর এমনভাবে ডিজাইন করা হয়েছে যাতে এটি পরিষ্কার, মানুষের পাঠযোগ্য কোডকে এমন কিছুতে রূপান্তরিত করে যা পড়া প্রায় অসম্ভব, ফলে এটি বোঝা বা রিভার্স-ইঞ্জিনিয়ারিং করা আরও কঠিন হয়ে যায়। এই টুলগুলো ভেরিয়েবল এবং ফাংশনের নাম পরিবর্তন করে, হোয়াইটস্পেস (অতিরিক্ত ফাঁকা স্থান) সরিয়ে দেয়, কোডের কাঠামোকে সরল করে এবং স্ট্রিং স্প্লিটিং, হেক্সাডেসিমাল এনকোডিং বা কন্ট্রোল-ফ্লো ফ্ল্যাটেনিং-এর মতো কৌশল প্রয়োগ করে। যদিও এর মূল লক্ষ্য প্রায়শই মেধাস্বত্ব রক্ষা করা বা ফাইলের আকার কমানো, কিন্তু এর ফলে সৃষ্ট জটিলতা জাভাস্ক্রিপ্ট ম্যালওয়্যারের জন্য একটি আদর্শ আড়াল তৈরি করে। একারণেই অনেক নিরাপত্তা দল রূপান্তরিত কোড বিশ্লেষণ করতে এবং লুকানো আচরণ উন্মোচন করতে জাভাস্ক্রিপ্ট ডিওবফাসকেটর টুলের সাহায্য নেয়।
উদাহরণস্বরূপ, এমন একটি সহজ বিষয় যেমন:
যেসব ডেভেলপার ক্লায়েন্ট-সাইড লজিক তৈরি করেন (যেমন ব্রাউজার-ভিত্তিক SaaS), তাদের টুলচেইনের একটি অংশ হলো জাভাস্ক্রিপ্ট অবফাসকেটর। কিন্তু এই একই রূপান্তর একে জাভাস্ক্রিপ্ট ম্যালওয়্যারের জন্য একটি নিখুঁত আড়ালে পরিণত করে।
আক্রমণকারীরা কীভাবে জাভাস্ক্রিপ্ট ম্যালওয়্যার লুকানোর জন্য অবফাসকেশনের অপব্যবহার করে
আক্রমণকারীরা ছদ্মবেশ ধারণ করতে জাভাস্ক্রিপ্ট অবফাসকেটর টুলের অপব্যবহার করে। ওপেন-সোর্স লাইব্রেরিতে ম্যালওয়্যার প্রবেশ করানো হয়েছে, এনপিএম প্যাকেজঅথবা সরাসরি ব্রাউজার স্ক্রিপ্টে। একটি সাধারণ কৌশল হলো, পেলোডগুলোকে এমন সব দুর্বোধ্য ফাংশনের ভেতরে লুকিয়ে রাখা, যেগুলো রানটাইমে নির্দিষ্ট শর্ত সাপেক্ষে সক্রিয় হয়।
একটি হ্যাক হওয়া npm প্যাকেজের কথা ভাবুন। প্রথম নজরে, সবকিছু বৈধ মনে হয়। কিন্তু গভীরভাবে দেখলে দুর্বোধ্য জাভাস্ক্রিপ্ট কোড চোখে পড়ে, যা এনকোডেড স্ট্রিং, রিমোট ইউআরএল বা ডাইনামিক ভেরিয়েবলকে রেফারেন্স করে। eval() কল:
এটা কম্প্রেশন নয়। এটা একটা আড়াল। জাভাস্ক্রিপ্ট ম্যালওয়্যার এখানে লুকিয়ে থাকে, টোকেন পাচার করতে, ফিশিং ফর্ম প্রবেশ করাতে, অথবা অ্যাপের ভেতরে পারমিশন বাড়িয়ে নিতে অপেক্ষা করে।
অ্যাপসেক এবং সাপ্লাই চেইনে প্রকৃত ঝুঁকি
আধুনিক সফটওয়্যার pipelineএগুলো থার্ড-পার্টি কোডের উপর ভিত্তি করে তৈরি। অস্পষ্ট স্ক্রিপ্টের মাধ্যমে এমবেড করা জাভাস্ক্রিপ্ট ম্যালওয়্যার শুধু একটি নিরাপত্তা ত্রুটিই নয়; এটি একটি সাপ্লাই চেইন লঙ্ঘন। একবার অস্পষ্ট ম্যালওয়্যার কোনো শেয়ার্ড লাইব্রেরিতে প্রবেশ করলে, তা ছড়িয়ে পড়ে:
- CI বিল্ডের মধ্যে দিয়ে package.json
- Webpack/Rollup এর মাধ্যমে ফ্রন্টএন্ড বান্ডেলে
- সিডিএন বা স্ক্রিপ্ট ইনজেকশনের মাধ্যমে উৎপাদনে
উদাহরণস্বরূপ, ইভেন্ট-স্ট্রিম ঘটনাটি দেখিয়েছে কীভাবে আক্রমণকারীরা বহুল ব্যবহৃত প্যাকেজগুলিতে পেলোড স্থাপন করতে অবফাসকেশন ব্যবহার করেছিল। ডেভেলপাররা খুব কমই গভীরভাবে অবফাসকেটেড কোড পরীক্ষা করে, যা এটিকে লুকানোর জন্য একটি নিখুঁত জায়গা করে তোলে।
ঝুঁকিটা তাত্ত্বিক নয়। আপনার ডিপেন্ডেন্সিগুলো স্ক্যান করা না হলে, এই ঝুঁকিটি ইতিমধ্যেই আপনার কোডে রয়েছে।
জাভাস্ক্রিপ্ট ডিওবফাসকেটর টুল ব্যবহার করে অবফাসকেটেড কোড শনাক্তকরণ
লুকানো হুমকি শনাক্ত করতে দলগুলো জাভাস্ক্রিপ্ট ডিওবিফাসকেটর টুল ব্যবহার করে। এগুলো দুর্বোধ্য কোডের প্যাটার্ন বিশ্লেষণ করে, স্ট্রিং ডিকোড করে এবং ডাইনামিকের মতো বিপদ সংকেত প্রকাশ করে। eval()দুর্বোধ্য লুপ এবং অপ্রয়োজনীয় জটিলতা।
কার্যকরী ডিওবফাসকেটর শুধু কোডকে রিফরম্যাটই করে না; এগুলো চিহ্নিত করে:
- ব্যাবহার ক্রিয়া, স্পষ্ট, এবং সেট টাইমআউট এনকোডেড পেলোড সহ
- Base64 বা হেক্সাডেসিমাল স্ট্রিংয়ের দীর্ঘ ক্রম
- কন্ট্রোল-ফ্লো ফ্ল্যাটেনিং বা ডেড-কোড ইনজেকশন
স্ট্যাটিক অ্যানালাইজার বা এএসটি পার্সারের মতো স্বয়ংক্রিয় টুলগুলো এই প্যাটার্নগুলো শনাক্ত করতে সাহায্য করে। ডিপেন্ডেন্সি পর্যালোচনা করার সময় বা প্যাকেজ আপডেট যাচাই করার সময় এগুলোই হলো প্রথম প্রতিরোধ ব্যবস্থা।
উদাহরণস্বরূপ: লুকানো হুমকি মার্জ হওয়া এড়াতে প্রি-মার্জ চেকের মধ্যে ডিওবিফাসকেশন স্ক্যানিং অন্তর্ভুক্ত করুন।
সনাক্তকরণকে একীভূত করা CI/CD Pipelines
সনাক্তকরণ কোনো পোস্ট-ডিপ্লয় টাস্ক নয়। অবফাসকেশন স্ক্যানিং এর অংশ হওয়া উচিত। CI/CD pipeline। ব্যবহার গিটহাব অ্যাকশন, গিটল্যাব সিআই, বা জেনকিন্স প্রতিটি পুশ বা মার্জে স্ক্যান চালু করতে।
বৈশিষ্টসূচক pipeline প্রবাহিত
নীতি প্রয়োগের মাধ্যমে, আপনি ঝুঁকিপূর্ণ অস্পষ্ট কোডযুক্ত বিল্ডগুলিকে ব্লক করতে পারেন। এর সাথে একত্রিত করুন SCA সরঞ্জাম এনপিএম প্যাকেজগুলিতে পরিচিত ম্যালওয়্যার সিগনেচারগুলি ক্রস-রেফারেন্স করতে।
রানটাইমের অপ্রত্যাশিত ঘটনার জন্য অপেক্ষা করবেন না। বিল্ড-টাইমেই এটিকে প্রত্যাখ্যান করুন।
অবফাসকেশনের লুকানো খরচ: ডিওবফাসকেটরের সাহায্যে জাভাস্ক্রিপ্ট ম্যালওয়্যারের বিরুদ্ধে লড়াই
জাভাস্ক্রিপ্ট অবফাসকেটর টুলগুলোর বৈধ ব্যবহার রয়েছে। কিন্তু আক্রমণকারীরা জাভাস্ক্রিপ্ট ম্যালওয়্যার গোপন করতে এবং ওপেন-সোর্স ইকোসিস্টেমের প্রতি আস্থার সুযোগ নিতে এগুলোর ওপর নির্ভর করে। অ্যাপসেকের আসল ঝুঁকি শুধু আপনি কী লিখছেন তাতেই নয়, বরং আপনি কী ইম্পোর্ট করছেন তাতেও নিহিত। জাভাস্ক্রিপ্ট ডিওবফাসকেটর স্ক্যান এবং স্ট্যাটিক অ্যানালাইসিসকে এর মধ্যে অন্তর্ভুক্ত করার মাধ্যমে CI/CD pipelineএর ফলে, ডেভ টিমগুলো আগেভাগেই হুমকি শনাক্ত করতে পারে। ডিপেন্ডেন্সিতে থাকা দুর্বোধ্য কোডকে সন্দেহের চোখে দেখুন, বিশেষ করে যখন তা অপ্রত্যাশিত হয়।
সরঞ্জাম পছন্দ জাইজেনি জাভাস্ক্রিপ্ট ইকোসিস্টেম জুড়ে অবফাসকেশন এবং সাপ্লাই চেইন ঝুঁকি সম্পর্কে ডেভসেকওপিএস টিমগুলোকে স্বচ্ছ ধারণা পেতে সাহায্য করার জন্য এগুলো তৈরি করা হয়েছে। আপনার দক্ষতা বাড়াতে এগুলো ব্যবহার করুন। pipeline এবং আপনার কোড প্রোডাকশনে যাওয়ার আগেই এর মধ্যে কী লুকিয়ে আছে তা শনাক্ত করুন।
জাইজেনি এটি জাভাস্ক্রিপ্ট অবফাসকেশন প্যাটার্ন বিশ্লেষণ করে, সম্ভাব্য জাভাস্ক্রিপ্ট ম্যালওয়্যার চিহ্নিত করে এবং আপনার সফটওয়্যার সাপ্লাই চেইন জুড়ে প্যাকেজগুলোর ঝুঁকিপূর্ণ আচরণ ট্র্যাক করার মাধ্যমে সাধারণ স্ক্যানিংয়ের ঊর্ধ্বে কাজ করে। এটি নির্বিঘ্নে সমন্বিত হয় CI/CD pipelineএর মাধ্যমে কোডের গুণমান ও নিরাপত্তার ওপর স্বয়ংক্রিয় নিয়ন্ত্রণ প্রতিষ্ঠা করা যায়।
সতর্ক থাকুন। সবকিছু খুঁটিয়ে দেখুন। আর মনে রাখবেন: যদি কোনো কিছু অর্থহীন মনে হয়, তবে সম্ভবত তা আরেকবার খতিয়ে দেখা দরকার।
