Search
近期NPM、PYPI和RubyGem等主要儲存庫，都出現遭到攻擊的消息。DevOps平臺JFrog提到，開發人員毫無戒心的信任儲存庫，並且從這些來源安裝套件，當惡意套件被意外地允許上傳至儲存庫時，開發人員就可能在無意之間，下載安裝這些惡意套件，使得攻擊者得以在開發者的工作管線成功發動攻擊
#看更多 https://www.ithome.com.tw/news/146011
軟體包與軟體庫正成為供應鏈攻擊的熱門目標，如同近期已傳出惡意軟體攻擊npm、PyPI與RubyGems的消息，若開發人員盲目信任將帶來極大風險，最近JFrog資安研究團隊就發現數個惡意套件並回報，它們都使用了簡單的混淆技術來避過靜態分析工具
這篇文章算是一個資安問題的討論文章，作者透過一系列的手法成功地獲取了大量使用者的電腦資訊，由於這次的實驗只是要證明資安問題，因此作者的程式只有獲取如 IP, Hostname 等簡單資訊，若是惡意的話是可以執行更多危險程式碼的。
作者開門見山表示，現在的程式語言有太多的豐富的第三方函式庫，譬如 NodeJs(NPM), Ruby(RubyGem), Python(PyPI)，豐富的第三方實作讓開發者可以更快速的完成任務。
開發者在使用這些套件函式庫時，大部分情況都不會去檢查太多，而是直接信賴般的去使用這些函式庫，而這種盲點般的信任是否有可能讓攻擊者有跡可循？
作者基於這個想法進行了一系列研究，發現 PayPal 公開專案(NodeJs) 內的 package.json 內交互使用了公開與內部的 packages。 公開部分勢必來自 npm 而那些內部的應該是來自於 PayPal 內部系統，同時也注意到這些內部的 package name 目前於 npm 上也不存在。
針對這個情境，作者提出一些問題
1) 如果有人上傳跟 PayPal 內部 package 相同名稱的套件到 npm 服務器上，有沒有可能 PayPal 內部某些專案會預設使用 npm 上的套件而非內部自架的伺服器?
2) 開發者或是其他自動化系統有沒有可能運行這些 packages 內的程式碼，這樣有沒有機會造成一個漏洞的可能性？
3) 其他的公司是否也會有類似的問題?
為了證實這個問題，作者設計了一系列的實驗與準備來測試上述問題，譬如更有系統的去尋找這種有跡可循的 package.json(Tesla, Apple, Yelp 等公司都被到可以利用的 package names)。
作者將自己這系列的攻擊行為稱為 depdendency confusion 來呼應本文標題。
結果來看是令人非常震驚的，作者打造同名的npm的確被大量下載與執行，也讓作者收集到大量運行的內部服務器IP與名稱。
與 Apple 合作通報相關報告後， Apple 也於兩週內修復相關問題。
原文滿長的，非常推薦閱讀
我個人認為資安這概念就是不出問題不被重視，但是一但出問題可能造成的影響卻非常巨大的。團隊內每個人都要培養基本的資安理念，同時與相關的安全團隊合作逐漸地提高整個產品的安全性，永遠不要想一聲令下明天就可以反轉一切。
https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610
拿到積分獎勵後，可以上六星了吧
文老爹粉絲團網址
https://www.facebook.com/%E6%96%87%E8%80%81%E7%88%B9-105749597566220/
#少年猛將傳
#文老爹
#第五集
《少年猛將傳》2020最強推薦，戰力無限三國RPG手遊正式來襲！蒼天已死少年當立，獨創緣份合擊玩法，突破陣容侷限！最佛手遊，三國名將輕鬆入手！重回三國戰場，再次年少輕狂！
【立即下載！爽領元寶！】
https://gamesword.onelink.me/t9bn/7c1159d0
免費！免費！免費！免費就是王道！2013故宮多媒體競賽作品：「朕知道了」是一款卡片記憶遊戲。卡片上的圖都是乾隆皇帝的珍藏寶物。讓我們一起打開乾隆皇帝的百寶箱，一面訓練自己的記憶力，一面認識各個藝術作品的名稱吧！
下載連結：
iOS: https://itunes.apple.com/app/id680044553?mt=8
Android: https://play.google.com/store/apps/details?id=com.appsgaga.game.emperorstreasure
npm 全名是Node Package Manager 的縮寫，是Node.js 預設的node 套件管理平台，簡單來說可以當作是一個建立跟管理專案的好用套件，也可以下載好用的 ... ... <看更多>
App下載–「故宮常設展(NPM InSight) App」 喜歡先前介紹的【玉人與熊】【翡翠松鼠葡萄】嗎？現在下載「故宮常設展App」，就可以全部放進手機裡，隨身帶著走！ ... <看更多>
npm下載 在 NPM 套件管理工具- nodejs-wiki-book - GitHub 的推薦與評價
這是由npm 提供的Fancy Windows Install 版本，請下載壓縮檔（例如： npm-1.1.0-3.zip ），並將壓縮檔內容解壓縮至Node.js 的安裝路徑（例如： C:\Program Files\nodejs ） ... ... <看更多>