RepoJacking 攻击影响数百万 GitHub 库 天天关注
RepoJacking 攻击影响数百万 GitHub 库。
(资料图)
数百万 GitHub 库受到依赖库劫持攻击 "RepoJacking" 的影响,可以帮助攻击者首先供应链攻击,影响数百万用户。
RepoJacking 攻击
GitHub 上用户名和库名是经常变化的。如果企业被受到或合并,名字就会发生变化。名字发生变化后,就会创建重定向来避免破坏项目依赖。但如果有用户注册了原来的用户名或库名,重定向就无效了。
RepoJacking 攻击是指恶意用户注册一个 GitHub 用户名,并创建一个该组织过去使用的库,然后修改其名。通过 RepoJacking 攻击,攻击者可以依赖被攻击项目的依赖来从攻击者控制的库中取回依赖和代码,其中可能包含恶意软件。攻击案例
AquaSec 安全研究团队 Nautilus 分析了 125 万 GitHub 库,发现其中 2.95% 可能受到 RepoJacking 攻击的影响。GitHub 库总数超过 3 亿,按照 2.95% 的比例,超过 900 万项目受到该攻击的影响。
在 Google 的库例子中,"Mathsteps" 项目指向属于 Socratic 的 GitHub 库。Socratic 是谷歌收购的一家公司。攻击者可以克隆库来破坏重定向,用户根据 readme 文件指示会从恶意库中下载恶意代码。由于 readme 文件中包含 npm install 依赖命令,攻击者的代码可以在受害者设备上实现任意代码执行。
图 谷歌 readme 文件中的命令在 Lyft 的例子中,攻击者可以自动执行。研究人员在该公司的库中发现一个安装脚本,可以从另一个库中取回一个 zip 压缩文件,因此也受到 RepoJacking 攻击的影响。
攻击者首先注册一个新的用户名和使用正确名的库(YesGraph 和 Dominus),然后可以注入代码到任意执行 Lyft 的 "install.sh" 脚本。
图 指向外部库的 Lyft 脚本总结
GitHub 已经意识到 RepoJacking 攻击的可能性并实现了一些防护措施。但 AquaSec 称这些防护措施还不够充分,易被绕过。比如,GitHub 只对那些比较流行的项目进行保护。GitHub 会对克隆数超过 100 的项目修改名时进行保护。
RepoJacking 的风险是非常广泛的,也难以修复,会对企业和用户带来严重的风险。项目所有者应当尽可能最小化从外部库提取资源。
完整技术细节参见:https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking
关键词:
上一篇:在撰写先进事迹材料需要注意哪些地方?先进生产者主要事迹怎么写
下一篇:最后一页
- 观点:“城镇老旧小区既有多层住宅加装电梯”拟入法
- 到深圳宝体看约基奇!“国际团结杯”6月28日开票_天天速递
- 银河电子(002519.SZ):三到五年内在机场行李搬运,巡检等人力成本投入大的岗位上进行人工智能的替代
- 花呗多少钱才达到起诉?被起诉了需要到庭去不了怎么弄?
- 环球今头条!慕思股份联合腾讯音乐举办淄味烧烤音乐会 上市一周年温情答谢客户
- 世界快资讯:为什么软件工程的学费高?我来告诉你 软件工程学费为什么贵
- 【财报深度解读】光大证券,老师傅遇到新问题?
- 蓝牙音箱中应用的国产蓝牙芯片 看热讯
- 焦点信息:英美经济协调可谓“同床异梦”
- 个性化定制、主题研学,暑期游玩法“上新”持续升温_环球速递
-
蓝牙音箱中应用的国产蓝牙芯片 看热讯
蓝牙音箱指的是内置蓝牙芯片,以蓝牙连接取代传统线材连接的音响设备,
-
个性化定制、主题研学,暑期游玩法“上新”持续升温_环球速递
六月的夏日充满毕业季独有的青春气息,随着中高考结束,“暑期档”旅游
-
看热讯:马斯克回应约架扎克伯格:如果真举办 会进行训练
近日,扎克伯格和马斯克在线约架,引起全球网友关注。而马斯克周六在推
-
每日快看:端午假期北京全市公园纳客326万人次 同比增61%
今年端午节假期期间,北京全市公园共接待游客326万人次,比去年同期增
-
五部门拟规范商业特许经营发展-要闻速递
6月25日,商务部、中央网信办、公安部、市场监管总局、国家知识产权局
-
27日河南局地气温将达40℃!中考考生需防范高温雷雨天气
2023年河南省中考将于6月26日至28日进行。记者从河南省气象服务中心获
-
酸豆角的家常做法好吃又简单?
做法1:酸豆角炒肉末准备食材如下:酸豆角200克,猪肉末100克,食用油5
-
二十年,焕然一新
从农村人居环境入手 乡村面貌焕然一新 从空中视角感受 “千万工程”
-
这个女生考了历史类624分,她想当记者!
这个女生考了历史类624分,她想当记者!极目新闻记者张裕通讯员毕小燕
-
剑指光伏,万亿蛋糕如何划分?
剑指光伏,万亿蛋糕如何划分?,6月21日晚,合康新能公告称,拟向美的集
X 关闭
RepoJacking 攻击影响数百万 GitHub 库 天天关注
在撰写先进事迹材料需要注意哪些地方?先进生产者主要事迹怎么写
当皇马傻子?大巴黎脑洞大开:3亿太贵,姆巴佩换1.5亿球星+门神
麒麟生育网(关于麒麟生育网的基本详情介绍)
焦点速看:100米加减档怎样用最短的时间完成_100米加减档
X 关闭
天天热资讯!永远会被纯爱打动!一口气追了三天,确定了他们是真爱|天天热点
环球观速讯丨香港青年代表在联合国人权理事会发声支持香港国安法
手机yy怎么改马甲名字 yy不能改名字
日本的老年人为什么会时常进出夜总会?这背后的原因值得中国警示-快播报
数字文明尼山对话:有“尼”真好