RepoJacking 攻击影响数百万 GitHub 库 世界快资讯
2023-06-26 12:11:29来源:ZAKER科技
RepoJacking 攻击影响数百万 GitHub 库。
数百万 GitHub 库受到依赖库劫持攻击 "RepoJacking" 的影响,可以帮助攻击者首先供应链攻击,影响数百万用户。
(资料图片仅供参考)
RepoJacking 攻击
GitHub 上用户名和库名是经常变化的。如果企业被受到或合并,名字就会发生变化。名字发生变化后,就会创建重定向来避免破坏项目依赖。但如果有用户注册了原来的用户名或库名,重定向就无效了。
RepoJacking 攻击是指恶意用户注册一个 GitHub 用户名,并创建一个该组织过去使用的库,然后修改其名。通过 RepoJacking 攻击,攻击者可以依赖被攻击项目的依赖来从攻击者控制的库中取回依赖和代码,其中可能包含恶意软件。攻击案例
AquaSec 安全研究团队 Nautilus 分析了 125 万 GitHub 库,发现其中 2.95% 可能受到 RepoJacking 攻击的影响。GitHub 库总数超过 3 亿,按照 2.95% 的比例,超过 900 万项目受到该攻击的影响。
在 Google 的库例子中,"Mathsteps" 项目指向属于 Socratic 的 GitHub 库。Socratic 是谷歌收购的一家公司。攻击者可以克隆库来破坏重定向,用户根据 readme 文件指示会从恶意库中下载恶意代码。由于 readme 文件中包含 npm install 依赖命令,攻击者的代码可以在受害者设备上实现任意代码执行。
图 谷歌 readme 文件中的命令在 Lyft 的例子中,攻击者可以自动执行。研究人员在该公司的库中发现一个安装脚本,可以从另一个库中取回一个 zip 压缩文件,因此也受到 RepoJacking 攻击的影响。
攻击者首先注册一个新的用户名和使用正确名的库(YesGraph 和 Dominus),然后可以注入代码到任意执行 Lyft 的 "install.sh" 脚本。
图 指向外部库的 Lyft 脚本总结
GitHub 已经意识到 RepoJacking 攻击的可能性并实现了一些防护措施。但 AquaSec 称这些防护措施还不够充分,易被绕过。比如,GitHub 只对那些比较流行的项目进行保护。GitHub 会对克隆数超过 100 的项目修改名时进行保护。
RepoJacking 的风险是非常广泛的,也难以修复,会对企业和用户带来严重的风险。项目所有者应当尽可能最小化从外部库提取资源。
完整技术细节参见:https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking
责任编辑:hnmd003
相关阅读
相关阅读
-
RepoJacking 攻击影响数百万 GitHub 库 世界快资讯
RepoJacking攻击影响数百万GitHub库。数百万GitHub库受到依赖库劫持攻
-
iPhone 15 即将量产,富士康郑州园区日均招工 1000 人仍处爬坡阶段
IT之家6月26日消息,据台湾地区经济日报报道,为了迎接iPhone15系列新
-
焦点速看:知名女歌手被传失踪、离世?好友和经纪人发声
6月25日,郑欣宜的相关词条突然登上热搜,引起网友的的激烈讨论。近日
-
iPhone “车祸检测”功能误报率翻五倍,噱头功能为何苹果还不下架? 环球讯息
图片来源@视觉中国文|雷科技leitech每年6月,美国田纳西州曼彻斯特的Gr
-
三年多巨亏超 40 亿,物美“亲儿子”多点 DMALL “流血谋上市”
图片来源@视觉中国文|雷达财经,作者|莫恩盟,编辑|深海此前递交上市申
-
今头条!抖音外卖“熄火”:放下 1000 亿 GMV 目标
图片来源@视觉中国文|伯虎财经,作者|梦得抖音外卖业务仍然进展不顺。
-
苏州银行的利润密码
图片来源@视觉中国文|市值观察,作者|徐风,编辑|小市妹近两年,城商行
-
每日快看:一加新机曝光:内存高达24GB
据科技爆料人士透露,一加手机即将推出一款内存高达24GB的新型手机Ace2
-
百万医疗险有什么用处?百万医疗险有年龄限制吗? 新视野
首先,百万医疗险能够提供全方位的医疗保障。无论是因意外事故还是突发
-
百万医疗和五险冲突吗?百万医疗保险的保费是多少?
百万医疗险与五险并没有直接的冲突。五险是由国家法定的社会保险制度,
-
世界速看:百万医疗险哪家保险公司最好?百万医疗烧伤可以报销吗?
根据保险合同的具体条款和保险公司的规定,百万医疗险通常是可以报销烧
-
平安百万医疗险哪个好?怎么理赔?
平安e生保:这是一款针对年轻人设计的百万医疗险产品,特点是保费较低
-
天天最资讯丨58岁买百万医疗合适吗?一年要交多少保费?
对于58岁的中老年人而言,购买百万医疗险是否合适取决于以下几个方面:
-
三年多巨亏超40亿,物美“亲儿子”多点“流血谋上市”-天天新要闻
此前递交上市申请材料“失效”后,多点DMALL时隔半年再度递表、逐梦
-
李想:若不是产能限制,本月L8也能破万-世界今热点
李想:若不是产能限制,本月L8也能破万6月25日,理想汽车CEO李想发文称
-
李彦宏:AI原生应用比大模型数量更重要
新浪科技讯6月26日上午消息,今日举办的世界互联网大会数字文明尼山对
-
外国人在中国犯罪该怎么处理?为什么外国人犯罪不处罚?
外国人在中国犯罪该怎么处理?若外国人在我国境内犯罪的,应当按照以下规定进行处理:凡在我国领域内犯罪...
-
监察委员会是什么机关?监察委员会主任任期几年?
监察委员会是什么机关?根据法律规定,监察机关是监察委员会,中华人民共和国国家监察委员会市最高的监察...
-
离婚协议书怎么写?离婚协议书有法律效力吗?
离婚协议书怎么写?一、离婚协议书书写要点1、登记离婚是双方当事人的真实意思的表示;双方必须在协议书上...
-
本田全球召回130万辆汽车|全球新视野
近日,美国国家公路交通安全管理局表示,由于后视摄像头图像存在潜在问
-
【新要闻】MV《那一抹红》温情上线
MV《那一抹红》,致敬定州母子打动人心的力量,感谢来自社会的每一份善
-
淘宝内容团队打响淘汰赛,逛逛迎来“生死大考”
用户数据不及预期作者丨闫学功封面来源丨《血战钢锯岭》海报雪豹财经社
-
“备战” iPhone 15 富士康领衔 “果链”公司开启抢人大战
【CNMO新闻】新一代iPhone(iPhone15)渐行渐近,其最重要的生产商之一
-
小米 13 Ultra 明日将迎来“新搭档” 或为白色版摄影套装 热头条
【手机中国新闻】距离小米13Ultra发布已经有一段时间,最让专业用户喜
-
通过文本分类检测中的代码混淆
概述安卓APK中的混淆混淆是软件开发中常用的技术,用于使代码更难理解
-
焦点速讯:LinkedIn 推出生成式 AI 辅助撰写帖文功能,将向所有用户开放
品玩6月26日讯,职场社交平台LinkedIn早前推出了广告创建支持功能,允
-
扎堆涌入二次元游戏赛道:有人流水破亿,有人裁员大半
如果把时间拉回到2022年10月,可能没有人会想到,2023年会演变成二次元
-
拜登还能再干一届?民调:将在 2024 年大选中战胜特朗普
财联社6月26日讯(编辑卞纯)根据美国全国广播公司新闻频道(NBCNews)
-
天天信息:23 亿代价深圳买楼时机不对?浙商银行董事罕见投出反对票:资本耗用应优先聚焦生息资产
财联社6月26日讯(记者梁柯志)继去年花费30亿为上海分行购买写字楼之
-
今日热议:又是乳腺癌!知名财经博主叶檀被传去世,本人已辟谣:我活着,治疗很有效
本文来源:时代周报作者:杜苏敏知名财经评论叶檀被传去世,是乌龙!6
精彩推荐
阅读排行
精彩推送
- 世界讯息:《黑镜 6》崩了,剧...
- 欠条是一份还是双方各一份?欠条...
- 拘役是什么意思?拘役和拘留的区别
- 天天看热讯:西藏那曲:千名学生...
- 拉萨市尼木县北京中心幼儿园:民...
- 天天微动态丨西藏大学2023届学生...
- 双规是什么意思?双规后还能官复...
- 微信提现怎样才不收费?微信提现...
- 贵金属点差是什么意思?贵金属50...
- 黄金交易日是什么时候?黄金交易...
- 基金老鼠仓是什么意思?老鼠仓建...
- 安心百万医疗险2020版怎么样?怎...
- 百万医疗险人保好还是人寿好?百...
- 逸安卫年金保险保什么?可以为孩...
- 人寿保险怎么样?最多可以延迟多...
- 借势“最火”端午,激发消费新潜力
- 利安安享百万医疗保险多少钱一年...
- 天天热消息:抖音外卖上线200天...
- 知乎将清理侵害企业家合法权益...
- 无忧传媒旗下广东夫妇、多余和毛...
- 白银期货是怎么开户的?白银期货...
- Lordstown创始人抛售全部股份-天...
- 腾讯基金怎么买?腾讯基金会配捐...
- 年贴现率是什么意思?年贴现率的...
- 证券交易时间是多久?证券交易时...
- 怎么办理基金定投?基金定投赎回...
- 新股中签率高好还是低好?中签怎...
- 做市商机制是什么意思?做市商机...
- 什么机构能代销基金?基金直销和...
- 机器人概念股继续冲高,南方精工...