V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
whwlsfb
V2EX  ›  程序员

使用 GO 语言开发时导入依赖要注意供应链攻击了

  •  
  •   whwlsfb ·
    whwlsfb · 138 天前 · 2382 次点击
    这是一个创建于 138 天前的主题,其中的信息可能已经有所发展或是发生改变。
    9 条回复    2021-03-08 20:10:22 +08:00
    liuxu
        1
    liuxu   138 天前
    "攻击者利用这种输入错误",感情就是写错包,写成了别人的包了
    dreampuf
        2
    dreampuf   138 天前   ❤️ 1
    永远不缺李逵李鬼
    github.com/utfave/cli ⚠️
    github.com/urfave/cli

    github.com/siruspen/logrus ⚠️
    github.com/sirupsen/logrus/

    其中 github.com/urfave/cli 会采集信息并发送到某云,并且存在后门的可能。我想看看怎么实现的后门,可惜已经被删除。刚想利用社工通过 https://sourcegraph.com/github.com/utfave/cli 看看缓存数据,第一次还能看到提交历史,一刷新,就 not found ……
    janxin
        3
    janxin   138 天前
    正常的,其他很多带包管理的供应链侧攻击都是这么进行的
    siteshen
        4
    siteshen   138 天前   ❤️ 1
    @dreampuf 这篇博客里有写怎么收集系统信息,但没有写后门相关的内容。
    https://michenriksen.com/blog/finding-evil-go-packages/
    https://michenriksen.com/assets/images/pkgtwist/utfave_cli.png
    Chenamy2017
        5
    Chenamy2017   138 天前
    学到了,厉害
    knightdf
        6
    knightdf   138 天前
    这种原来 python 上就被玩了好多了,还有抢注包名的
    ji39
        7
    ji39   138 天前
    有意思,学习了
    yeqizhang
        8
    yeqizhang   138 天前
    学到了。这两天刚刚交叉编译了个 go 的工具,我写 java 的...
    hronro
        9
    hronro   138 天前
    除了写错包名,攻击者去接手没人维护但又被广泛使用的包才更可怕的,之前 NPM 上就出现过类似的攻击。
    所以这么看,Deno 的包管理机制 + 权限限制真的是很有必要的
    关于   ·   帮助文档   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   874 人在线   最高记录 5497   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 20:42 · PVG 04:42 · LAX 13:42 · JFK 16:42
    ♥ Do have faith in what you're doing.