Phát Hiện Ký Tự Ẩn Unicode

Ký tự ẩn Unicode là gì?

Ký tự ẩn (hidden characters) là những ký tự Unicode không có biểu diễn hình ảnh trực quan nhưng vẫn tồn tại trong văn bản. Chúng chiếm dung lượng dữ liệu, ảnh hưởng đến cách trình bày văn bản, và có thể gây ra nhiều lỗi khó phát hiện trong lập trình, xử lý dữ liệu, và bảo mật.

Unicode định nghĩa hàng trăm ký tự điều khiển và định dạng, nhưng phổ biến nhất là nhóm zero-width (khoảng trắng không chiều rộng), nhóm whitespace đặc biệt, và nhóm bidi (bidirectional) dùng cho ngôn ngữ viết từ phải sang trái.

Các loại ký tự ẩn phổ biến

1. Nhóm Zero-Width

U+200B (Zero-Width Space), U+200C (ZWNJ), và U+200D (ZWJ) là ba ký tự nguy hiểm nhất. Chúng hoàn toàn vô hình, không chiếm không gian hiển thị, nhưng thay đổi cách xử lý văn bản. ZWJ được dùng hợp lệ trong emoji ghép (gia đình, cờ quốc gia), nhưng cũng bị lạm dụng để tạo URL phishing trông giống URL thật.

2. Byte Order Mark (BOM)

U+FEFF ban đầu dùng để đánh dấu thứ tự byte trong file UTF-16. Ngày nay, BOM thường xuất hiện vô tình ở đầu file UTF-8 khi lưu bằng một số text editor trên Windows. BOM trong file JSON hoặc CSV gây lỗi parser khó hiểu vì ký tự đầu tiên của file không phải là { hay header mà là ký tự vô hình.

3. Nhóm Bidi (Bidirectional)

RTL Override (U+202E) ép văn bản hiển thị từ phải sang trái. Đây là kỹ thuật tấn công phổ biến: file invoice_‮fdp.exe hiển thị như invoice_exe.pdf trên nhiều hệ điều hành, lừa người dùng mở file thực thi nguy hiểm.

4. Khoảng trắng đặc biệt

Non-Breaking Space (U+00A0), En Space, Em Space, Thin Space, và Hair Space trông giống khoảng trắng thường nhưng có chiều rộng khác nhau. Chúng thường xuất hiện khi sao chép từ PDF, Word, hoặc trang web có định dạng đặc biệt. Khi so sánh chuỗi, "hello world" (dùng NBSP) khác "hello world" (dùng space thường) dù trông hoàn toàn giống nhau.

Ký tự ẩn trong bảo mật

Ký tự ẩn là vũ khí yêu thích trong các cuộc tấn công phishing và social engineering. Một số kỹ thuật phổ biến:

• Homograph attack: Kết hợp ký tự ẩn với ký tự Unicode giống chữ Latin để tạo domain giả.
• RTL override: Đảo ngược phần mở rộng file để ẩn định dạng thật (.exe thành .pdf).
• Zero-width injection: Chèn ZWSP vào username hoặc password để bypass danh sách đen.
• Watermarking: Chèn tổ hợp ký tự ẩn duy nhất vào tài liệu để theo dõi nguồn rò rỉ.

Cách phòng tránh trong lập trình

• Luôn normalize input với String.prototype.normalize() trước khi xử lý.
• Dùng regex để loại bỏ ký tự điều khiển: /[​-‍­ ]/g
• Validate file BOM trước khi parse JSON/CSV — strip  ở byte đầu tiên.
• Hiển thị codepoint (U+XXXX) bên cạnh mỗi ký tự khi debug text processing.
• Dùng editor có chế độ hiển thị whitespace (VS Code: Toggle Render Whitespace).
• CI/CD pipeline nên có bước kiểm tra ký tự ẩn trong source code và config files.