源码隐形攻击科普
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
trojansource.codes是剑桥大学研究者Nicholas Boucher与Ross Anderson搭建的官方站点，专门介绍两人发现的Trojan Source隐形源码漏洞——这是一类利用Unicode编码特性实现的新型源码攻击，相关漏洞被追踪为CVE-2021-42574与CVE-2021-42694，相关研究还发表在了2023年USENIX Security顶级安全会议上。整个站点为免费开放的科普研究内容，没有任何收费服务。
站点内容结构清晰，按照攻击的不同维度分类讲解：首先介绍攻击核心原理——攻击者利用Unicode双向控制字符，在编码层面重排源码令牌顺序，让人类 reviewers看到的代码逻辑和编译器实际执行的逻辑完全不同，而且不会产生任何可视痕迹，比如可以让实际执行的权限判断代码看起来只是普通注释；随后讲解了该攻击在软件供应链场景下的严重危害，如果攻击者将这类隐形漏洞注入开源代码，很难被人工审核发现，会直接传染给所有下游项目。
站点还整理了三类具体攻击技术（提前返回、注释伪装、拉伸字符串），以及利用同源字符（视觉几乎完全相同的不同编码字符）的攻击变种；最后给出了可落地的防御方案，包括编译器应对未终止双向控制字符抛出警告、编辑器可视化显示特殊控制字符等。此外站点还提供了完整的研究论文链接和规范引用格式，附多段可直接参考的演示代码。
优势方面，该站点是漏洞发现者的一手官方资料，权威性远高于第三方转载内容，讲解搭配实例代码容易理解，防御方案对产业界具备实际参考价值，而且完全免费无广告。缺点是站点仅做科普讲解，没有提供在线检测工具等交互式功能，内容偏向学术原理，普通开发者理解门槛稍高。
该站点适合安全研究人员、信息安全专业学生做研究学习，也适合编译器、代码编辑器开发人员，以及开源项目供应链维护者参考防御方案。
目前该站点可以在国内直接访问，不需要代理，加载速度良好。
本测评基于公开资料整理,不构成购买建议,请以 trojansource.codes 官网实际信息为准。
Trojan Source 论文官网，适合安全开发学习。
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。