菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。
边策 金磊 发自 凹非寺
量子位 报道 | 民众号 QbitAI
论攻击科技巨头有多灾?
异常容易,而且是简朴到极致的那种。
只需要制造虚伪的 pip、 npm软件包,就可以轻松攻破 微软、 苹果、 特斯拉、 PayPal、 Yelp等数十家科技公司服务器。
没错,就是我们再熟悉不外的那些安装下令。
这是一位名叫Alex Birsan的黑客最近发现的伟大破绽:只要上传和科技公司内部软件包名字相同的“李鬼”,就可以让他们在不知不觉中熏染恶意软件。
波及局限之广、攻击方式之简朴,令人咋舌。
Birsan由此发现了30多家科技公司的存在破绽,有两家公司已经奖励他3万美元的的bug赏金。
怎么一回事?
事情起源于2020年炎天。
另一位黑客在网上分享了一段GitHub上有趣的Node.js源代码。这段代码原来仅供PayPal内部使用。
Birsan发现,package.json文件列出了安装软件所需的种种依赖项:
其中有来自npm的公共软件包,也有PayPal内部的私有软件包(红色),后者是由PayPal内部托管,这些软件包在公共npm注册表中搜索不到。
Birsan因此发生了许多的疑问:
攻击方式带着这些想法,Birsan将同名的“恶意” Node程序包上传到npm注册表,这样PayPal的程序员若是安装他们的私有软件包,就会被假的软件诱骗和替换。
固然,Birsan的“恶意软件”并不包罗损坏身分,它只有一个功效,当对方使用npm安装上与原软件同名的“李鬼”时,就会发送信息通知Birsan。
“恶意软件”将返回用户名、主机名、安装路径等信息,一方面可以辅助公司平安团队凭据这些信息确定可能受到攻击的系统,同时还可以制止将Birsan的测试误以为是现实的攻击。
不外,要让安装假软件的服务器向自己发出信息并不容易。由于公司内部电脑都受到防火墙的珍爱,DNS渗透是解决办法。
Birsan通过DNS协议将信息发送到他的服务器,
Birsan数据经由十六进制编码,将数据伪装成DNS查询的一部分,DNS查询直接或通过中心解析器到达了他自定义的服务器。
通过这种攻击方式,他纪录了每台计算机下载软件包的纪录。
寻找攻击目的
有了攻击的基本设计,Birsan决议寻找更多可能的攻击目的。
首先就是把攻击的软件生态局限扩大,除了 Node.js外,他还将代码移植到Python和Ruby上,这样使用 PyPI和 RubyGems的公司也会受到影响。
接下来就是寻找各大公司的私有软件包名称。
在搜索了整整几天后,Birsan发现,可以在GitHub以及主要软件包托管服务中找到,也可以通过种种互联网论坛上的帖子。
甚至没必要那么贫苦,实在找到私有程序包名称的最佳位置,是在各家公司的java文件。
这和前面在package.json找到依赖项类似。同样,require这些文件中泄露的内部路径或挪用也可能包罗依赖项名称。
苹果、Yelp和特斯拉都可以通过这种方式找到。下面就是从Yelp网站上发现的依赖项。
接下来,就最先“攻击”了。
攻击效果若何?
“成功率简直让人受惊。”
Brisan在按照上述方式举行攻击后,不禁发出这样的感伤。
他将这样的bug叫做 依赖性杂乱,并称已经在跨越 35个组织、所有 三种测试编程语言中,均有发现:
,,菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。
有一点异常明确:非法占用有用的内部包名称,险些成了一种万无一失的攻击方式。
绝大多数受此影响的公司,规模都是跨越1000名员工的,这很可能反映出大型公司内部库的使用率很高。
而且,由于Java 依赖名称更容易找到,险些75% 的已纪录回调来自 npm 包,但这并不一定意味着 Python 和 Ruby 不易受到攻击:
Brisan还举了个栗子。
加拿大电商巨头Shopify就中过招,然后他们为了修复这个bug,特意设立了 3万美元的赏金。
无独有偶,在去年8月,他向npm上产了一个Node包,这个包的代码被苹果内部的多台电脑中执行。
苹果为此也设立的3万美元的奖励,但当这位黑客向苹果反映“这个破绽可能允许威胁参与者在苹果 ID 中注入’后门’”,苹果公司却不这么以为:
在运营服务中实现“后门”需要更庞大的事宜序列。
但与此同时,苹果也确实证实,通过使用 npm 包手艺,苹果服务器上的远程代码执行是可以实现的。
最后,Birsan劝说人人不要随意实验,由于他研究的35家公司,都有公共破绽赏金设计或允许通过私有协议对平安性举行测试。
若是未经公司授权,请不要实验这种测试!
大公司缘何一再中招?
看到这里,或许你也会发生疑问:
为什么会发生这种情形?
大公司在面临这样的攻击时,为何会云云懦弱?
Brisan示意,大公司不愿意透露其在“修复”过程中的细节信息,但在他与平安团队相同过程中,却发现了些有意思的事情。
例如,造成Python“依赖性杂乱”的罪魁祸首,似乎就是错误地使用了一个名为extra-index-url的“design by insecure”下令行参数。
当同时使用这个参数和pip install library,来指定你自己的包索引时,虽然到达的效果和预期差不多,但现实上 pip 在幕后做的事情是这样的:
- 检查公共包索引(PyPI)中是否存在库。
- 以找到的版本为准举行安装。若是两个版本的软件包都存在,则默认从版本号较高的源码安装。
因此,若是将一个名为库9000.0.0的包上传到PyPI,就会导致上述例子中的依赖关系被“挟制”。
虽然这种事情是广为人知的,但若是在GitHub上搜索“extra-index-url”,就可以找到一些属于大型组织的易受攻击剧本——包罗一个影响微软.NET Core组件的bug。
这个破绽可能允许在.NET Core中添加“后门”,但不幸的是,微软并没有把这个破绽放在“.NET错误赏金设计”的局限内。
还会有新攻击方式
对此,Brisan以为,虽然现在许多大型公司已经意识到了这个bug的存在,也在它们的基础设施中举行了修复,但 照样有更多需要被发现的器械。
详细而言,他信赖要是存在一种更伶俐的新方式来泄露内部包名称,那么将会暴露出更多更容易受到攻击的系统。
而若是寻找替换的编程语言和存储库作为目的,就会发现一些分外的“依赖性杂乱”bug的攻击面。
……
云云看来,大型公司还需要在这种看似基础的破绽上,再下点功夫了。
— 完—
袭击线下刷单,AI已经着手了 | WWW2021研讨会最佳论文奖
小马智行L4无人车今日量产下线,这比融资更具里程碑意义
Nature认定:中国高校论学术,中科大无悬念第一
加入AI社群,拓展你的AI行业人脉
量子位「AI社群」招募中!迎接AI从业者、关注AI行业的小伙伴们扫码加入,与 50000+名密友配合关注人工智能 行业生长&手艺希望:
վ'ᴗ' ի 追踪AI手艺和产物新动态
网友评论
36条评论USDT回收
回复在生涯中这种胡搅蛮缠,自私自利的怙恃只是少数。大多数怙恃看待子女照样比较好的。究竟孩子是自己亲生的,打断骨头还连着筋呢,谁家怙恃会不爱自己的孩子呢?但这种克扣子女,拖累子女的怙恃,大多都是自私自利只想自己的人。他们通常都具有哪种类型和特征呢?下面一起来看看?这是一篇很OK的文
allbet登录官网
回复@USDT回收 赞,转,评,常规流程
IPFS挖矿
回复@allbet登录官网 菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。会一直追下去,加油!
澳5彩票开户(a55555.net)
回复@IPFS挖矿
USDT交易所
没话说,反手赞
怎么充值usdt(www.usdt8.vip)
回复@IPFS挖矿 菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。坚持写下去,加油啊
皇冠新现金网
回复@allbet登录官网 Filecoin官网(www.FLaCoin.vip)是Filecoin致力服务于使用Filecoin存储和检索数据的官方权威平台。Filecoin官网实时更新FlaCoin(FIL)行情、当前Filecoin(FIL)矿池、Filecoin(FIL)收益数据、各类Filecoin(FIL)矿机出售信息。并开放Filecoin(FIL)交易所、Filecoin云矿机、Filecoin矿机出售、租用、招商等业务。挚爱!
皇冠app怎么下载
回复@皇冠新现金网
接下来发生啥呢皇冠管理端登3手机
回复@USDT回收 Usdt第三方支付接口不失所望
USDT自动充提教程网(www.6allbet.com)
回复@USDT回收
澳洲5开奖网(a55555.net)
回复@USDT回收
这网站的都挺好看USDTOTCAPI接口(www.usdt8.vip)
回复@澳洲5开奖网(a55555.net)
有没有新人物??澳5官网(www.a55555.net)
回复@澳洲5开奖网(a55555.net) 【其他报道】【复古迷你机】行货四月推出 Capcom Retro Station【下一页】大家一起评论
皇冠官网平台
回复沉迷此文无法自拔
皇冠即时比分
回复Filecoin交易所官网(www.ipfs8.vip)是FiLecoin致力服务于使用FiLecoin存储和检索数据的官方权威平台。IPFS官网实时更新FiLecoin(FIL)行情、当前FiLecoin(FIL)矿池、FiLecoin(FIL)收益数据、各类FiLecoin(FIL)矿机出售信息。并开放FiLecoin(FIL)交易所、IPFS云矿机、IPFS矿机出售、租用、招商等业务。有豁然开朗的感觉
a55555.net
回复@皇冠即时比分
可以,在看足球免费贴士(www.hgbbs.vip)
回复@a55555.net 菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。好想知道结局
新2查账((www.hg9988.vip)
回复@皇冠即时比分 有才华的人
环球ug平台卖分(www.ugbet.us)
回复菜宝钱包(caibao.it)是使用TRC-20协议的Usdt第三方支付平台,Usdt收款平台、Usdt自动充提平台、usdt跑分平台。免费提供入金通道、Usdt钱包支付接口、Usdt自动充值接口、Usdt无需实名寄售回收。菜宝Usdt钱包一键生成Usdt钱包、一键调用API接口、一键无实名出售Usdt。好感爆棚~
皇冠开户(www.huangguan.us)
回复@环球ug平台卖分(www.ugbet.us)
感觉时间没被浪费澳洲5开奖网(a55555.net)
回复usdt无需实名买入卖出(www.usdt8.vip)
回复皇冠代理网址(www.hg9988.vip)
回复@usdt无需实名买入卖出(www.usdt8.vip) 要说是什么吸引了他们?实在并不是什么大事,而是她的机场穿搭啦!so接下来话不多说,就让我们赶忙来看看,事实是什么样的穿搭才会引发云云"惊动"的效果吧。大爱!
新2代理网址(www.22223388.com)
回复日内瓦1月4日电 世界卫生组织4日宣布的最新数据显示,全球累计新冠确诊病例达83910386例。就服你了
新2手机管理端(www.22223388.com)
回复快加小妹微信每遍都有新的收获
www.caibao.it
回复usdt法币交易平台(www.usdt8.vip)
回复@www.caibao.it 最终西咸新区美瑞成房地产有限公司(中天美妙)以4.03亿元竞得中央城区单元01-ZX-02-32地块,矜持比例25%,溢价率28.75%。转到朋友圈了
澳5彩票开户(a55555.net)
回复谁是推荐来的
新2投注平台出租(www.22223388.com)
回复trc20交易所(www.usdt8.vip)
回复我要磕cp了
皇冠app下载(www.hg9988.vip)
回复IPFS矿机挖矿
沉迷此文无法自拔
usdt转账手续费(www.usdt8.vip)
回复一大群人即将点赞
免费足球贴士(www.hgbbs.vip)
回复今天有新闻称,若是国安俱乐部的股权调换无法在1月31日前完成,将被强制更名,但这一说法并不准确。据新京报记者领会,中国足协职业联赛俱乐部名称审核要求国安俱乐部不晚于1月31日提交非企业化名称和股权调换焦点质料,其中包罗但不限于国有资产管理机构赞成转让的正式批复,或产权买卖机构挂牌买卖的公文,或双方盖章的股权转让协议,并未涉及强制更名的相关内容。现在距离31日已不到10天时间,希望事宜希望能获得让各方满足的效果。资深读者推荐
新2网址(www.hg9988.vip)
回复@免费足球贴士(www.hgbbs.vip) 逆熵科技官网(www.ipfs8.vip)是FiLecoin致力服务于使用FiLecoin存储和检索数据的官方权威平台。鲸鱼矿池官网实时更新FiLecoin(FIL)行情、当前FiLecoin(FIL)矿池、FiLecoin(FIL)收益数据、各类FiLecoin(FIL)矿机出售信息。并开放FiLecoin(FIL)交易所、IPFS云矿机、IPFS矿机出售、租用、招商等业务。一定持续创作啊
环球UG官网(www.ugbet.us)
回复USDT自动充值
这么有创意,人才啊
USDTOTCAPI接口(www.usdt8.vip)
回复欢迎进入欧博官网手机(Allbet Game):www.aLLbetgame.us,欧博官网是欧博集团的官方网站。欧博官网开放Allbet注册、Allbe代理、Allbet电脑客户端、Allbet手机版下载等业务。满意,耐心看
trc20官方交易所(www.usdt8.vip)
回复《《 重装上[阵》》 手[游 / 安卓 / iOS / 机甲 / ‘沙盒’ / 组装 / 『缔造』 / 竞技有创意无槽点,荐