快捷導(dǎo)航

防止刪庫跑路及高級(jí)代碼投毒技巧

更新時(shí)間：2022年07月18日 10:21:00 作者：TodoCoder

這篇文章主要為大家介紹了防止刪庫跑路及高級(jí)代碼投毒技巧詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步，早日升職加薪

引言

事情是這樣的，最近在做開源軟件供應(yīng)鏈安全相關(guān)的項(xiàng)目，之前沒了解這方面知識(shí)的時(shí)候感覺服務(wù)器被黑，數(shù)據(jù)庫被刪，網(wǎng)站被攻，這些東西都離我們太遙遠(yuǎn)了，因?yàn)楦杏X好像都輪不到我們，直到我開始做這個(gè)項(xiàng)目，才發(fā)現(xiàn)網(wǎng)絡(luò)安全，軟件安全問題真的是無處不在。

今天我們來聊聊刪庫跑路和代碼投毒。 我們從可操作性及易發(fā)現(xiàn)性還有后果及預(yù)防策略上來探討一下。

刪庫跑路

在軟件行業(yè)，“刪庫跑路”流傳已久，對(duì)，就是刪完庫，跑在監(jiān)獄的路上，這個(gè)對(duì)于安全來說簡(jiǎn)直是小兒科。

可操作性

1. 權(quán)限控制

像數(shù)據(jù)這么敏感的權(quán)限會(huì)控制的比較嚴(yán)格，比如人員的權(quán)限控制及防范：

運(yùn)維人員需進(jìn)行雙因素認(rèn)證；
防火墻或其他安全設(shè)備進(jìn)行網(wǎng)絡(luò)限制，僅允許從堡壘機(jī)才可訪問至核心資產(chǎn)；
數(shù)據(jù)庫等系統(tǒng)資源賬號(hào)密碼托管在堡壘機(jī)中，堡壘機(jī)定期自動(dòng)改密，運(yùn)維人員無需知道數(shù)據(jù)庫等系統(tǒng)資源的賬號(hào)密碼；
嚴(yán)格控制后臺(tái)資源的訪問權(quán)限，做到訪問權(quán)限最小化原則，給不同運(yùn)維人員分配最小訪問權(quán)限；
設(shè)置數(shù)據(jù)庫等高危操作命令的金庫模式，執(zhí)行高危命令時(shí)可觸發(fā)阻斷、二次審批等操作；
根據(jù)實(shí)際情況設(shè)置更高級(jí)別安全限制，比如登錄堡壘機(jī)時(shí)的IP地址、MAC地址限制，登錄堡壘機(jī)的時(shí)間限制等等。

看到了沒，首先第一步你讓007來也不一定能搞定。就算僥幸跨過了第一步。。。然后就被警察抓走了。。。豬角卒。。

2. 數(shù)據(jù)備份

數(shù)據(jù)定期備份。
云廠商數(shù)據(jù)防護(hù)。
異地多活。

就算刪了也能快速恢復(fù)。

綜上：你能刪庫的概率基本為0了，只要地球還在數(shù)據(jù)就還在。

易發(fā)現(xiàn)性

這個(gè)不用多講，即使能刪庫，有這個(gè)權(quán)限的人一根指頭都能數(shù)清，那就是你了。。

影響后果

刪庫跑路一般是只會(huì)影響自己的公司，對(duì)其他企業(yè)或者人員沒啥影響。但是對(duì)于你。。。。

相信你已經(jīng)做出了你的選擇。

代碼投毒

代碼投毒，是指攻擊者在合法軟件的開發(fā)、傳播和升級(jí)過程中進(jìn)行劫持或篡改，從而達(dá)到非法目的的攻擊類型。鑒于當(dāng)前超過99%的商業(yè)軟件包含開源軟件，一旦具有大規(guī)模用戶基礎(chǔ)的開源軟件存在安全漏洞，勢(shì)必會(huì)影響整個(gè)軟件產(chǎn)業(yè)、甚至其他重要行業(yè)的供應(yīng)鏈安全。

可操作性

包搶注攻擊

攻擊者通過向主流的軟件包管理員（PyPI、Node.js npm、Maven、RubyGems、Docker Hub）投放大量「相似拼寫名稱」諧音的軟件包或鏡像，仿冒正規(guī)項(xiàng)目，從而讓有惡意代碼的代碼包被安裝到開發(fā)或生產(chǎn)環(huán)境。

依賴庫注入惡意代碼

攻擊者通過自身的攻擊能力與掌握的漏洞，入侵軟件、硬件供應(yīng)商的辦公與開發(fā)環(huán)境，直接向產(chǎn)品代碼內(nèi)植入后門，在設(shè)備上預(yù)安裝的惡意軟件 (相機(jī)、USB、電話等)，實(shí)現(xiàn)惡意代碼與后門的分發(fā)，最終進(jìn)入被攻擊目標(biāo)的網(wǎng)絡(luò)。