V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
whwlsfb
V2EX  ›  程序员

使用 GO 语言开发时导入依赖要注意供应链攻击了

  •  
  •   whwlsfb ·
    whwlsfb · 2021-03-08 14:29:27 +08:00 · 3048 次点击
    这是一个创建于 1117 天前的主题,其中的信息可能已经有所发展或是发生改变。
    9 条回复    2021-03-08 20:10:22 +08:00
    liuxu
        1
    liuxu  
       2021-03-08 14:50:45 +08:00
    "攻击者利用这种输入错误",感情就是写错包,写成了别人的包了
    dreampuf
        2
    dreampuf  
       2021-03-08 14:52:02 +08:00   ❤️ 1
    永远不缺李逵李鬼
    github.com/utfave/cli ⚠️
    github.com/urfave/cli

    github.com/siruspen/logrus ⚠️
    github.com/sirupsen/logrus/

    其中 github.com/urfave/cli 会采集信息并发送到某云,并且存在后门的可能。我想看看怎么实现的后门,可惜已经被删除。刚想利用社工通过 https://sourcegraph.com/github.com/utfave/cli 看看缓存数据,第一次还能看到提交历史,一刷新,就 not found ……
    janxin
        3
    janxin  
       2021-03-08 14:53:16 +08:00
    正常的,其他很多带包管理的供应链侧攻击都是这么进行的
    siteshen
        4
    siteshen  
       2021-03-08 15:10:47 +08:00   ❤️ 1
    @dreampuf 这篇博客里有写怎么收集系统信息,但没有写后门相关的内容。
    https://michenriksen.com/blog/finding-evil-go-packages/
    https://michenriksen.com/assets/images/pkgtwist/utfave_cli.png
    Chenamy2017
        5
    Chenamy2017  
       2021-03-08 15:25:42 +08:00
    学到了,厉害
    knightdf
        6
    knightdf  
       2021-03-08 17:11:37 +08:00
    这种原来 python 上就被玩了好多了,还有抢注包名的
    ji39
        7
    ji39  
       2021-03-08 17:11:58 +08:00
    有意思,学习了
    yeqizhang
        8
    yeqizhang  
       2021-03-08 17:48:05 +08:00
    学到了。这两天刚刚交叉编译了个 go 的工具,我写 java 的...
    hronro
        9
    hronro  
       2021-03-08 20:10:22 +08:00
    除了写错包名,攻击者去接手没人维护但又被广泛使用的包才更可怕的,之前 NPM 上就出现过类似的攻击。
    所以这么看,Deno 的包管理机制 + 权限限制真的是很有必要的
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   4812 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 09:45 · PVG 17:45 · LAX 02:45 · JFK 05:45
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.