لماذا وُجدت هذه الأداة؟

يمكن لأحرف يونيكود ثنائية الاتجاه غير المرئية أن تجعل الكود المصدري يُعرض بشكل مختلف عمّا يُنفَّذ. هذه هي ثغرة CVE-2021-42574 — هجوم Trojan Source.

يُضمّن المهاجم أحرفًا تعكس اتجاه النص. عند مراجعة الكود، ترى:

access_level = "admin"

لكن المترجم يرى:

access_level = "user"

هذه الأحرف غير مرئية. لن يُظهرها محررك. لن يلتقطها المراجع. لكن bidi-guard سيفعل.

التثبيت

pip install bidi-guard

بداية سريعة

# Scan current directory recursively
bidi-guard scan .

# Scan a specific file
bidi-guard scan src/auth.py

يجد جميع أحرف اليونيكود ثنائية الاتجاه، ويعرض موضعها الدقيق وسياقها ومستوى خطورتها.

الأوامر

التكامل مع CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

أضِف إلى ملف .pre-commit-config.yaml الخاص بك:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

الأحرف المكتشفة

جميع أحرف التحكم ثنائية الاتجاه الستة عشر في يونيكود:

الأحرف المُعلَّمة بدرجة عالية أو حرجة يمكنها إعادة ترتيب النص المعروض فعليًا — وهذه هي الأحرف المستخدمة في هجمات Trojan Source.

الاستخدام كمكتبة

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

لماذا لا نكتفي بـ grep؟

هذه الأحرف غير مرئية. غير مرئية حرفيًا:

grep "RLO" file.py    # finds nothing
cat file.py            # looks completely normal

يُريك bidi-guard ما لا يستطيع grep إظهاره: الحرف الدقيق، وموضعه، والسياق المحيط به، ومستوى خطورته، وما يفعله. كما يمكنه الإصلاح التلقائي بإزالتها.

الترخيص

MIT — موسى النجار