绝密 | 一个安全测试,把全球 X0000 台主机控制权拿下了
讲真,大家都举起手机拍拍拍的场景也不是没见过,在一些安全论坛上,讲者讲到精彩的干货时,也有这种场面出现。
不过,这次“拍拍拍”很特殊,因为里面的数据(还有公司名)要是漏出来,估计很多家公司都要睡不好了。
一场看谁更单纯的测试
故事还得从几天前说起,编辑参加了一场安全圈的闭门会议。
这个会议的主要促成者之一是阿里巴巴安全部的安全研究员杭特,也就是上次宅客频道采访过,觉得安全圈“攻击者”比“防守者”要多得多,这种现象不太好的那个橘色毛衣的坚守者(他已经穿了四次了)。
事先,编辑已经猜到,杭特开这次大会可能是为了“兜售”他想办的那场阿里软件供应链安全大赛。
然后,编辑看了看参与者名单:阿里巴巴、腾讯、知道创宇、某滴、京东、华为、360、中科院软件所、中科院计算所、清华……等一下,腾讯安全玄武实验室和知道创宇的代表也来了?
熟悉网络安全领域的朋友们可能知道,几个月前,腾讯玄武实验室和知道创宇帮助支付宝发现了一个大漏洞,然后阿里今年又帮助微信找到了一个超级大漏洞……
嘿嘿嘿。。。
本来以为两方会心存芥蒂,现在又本着一起促进的心共同玩耍了,这种友好的氛围还是值得点赞的。所以,宅客频道编辑抱着这种期许,来到了会议室。
万万没想到,杭特刚介绍了几分钟软件供应链安全的定义和历史事件,然后就抛出了一个“炸弹”:
“XXXX(编者注:自己脑补是谁吧)进行了一个PIP软件仓库的实验,以前有些公司也搞过。不需要其他投入,只要一个免费的邮箱,一台能连上互联网的机器,就能对程序员进行这场网络安全的测试了。”
。。。。蛤?暴击程序员?
是的。
“普通的程序员要用一些工具去做××软件,可能会先查询一下,程序员是非常单纯的,比如,他可能要个pip installzlib,但是事实上这个东东的正经名字叫做zlib3,很多程序员敲的时候,没有意识到,就敲了zlib 开始搜索。所以,XXXX就在 python pip源上传“恶意测试”包 zlib,总数约 20 个。然后实验者就开始等待了……”
“单纯”的程序员们果然中招了
下面是一段中招公司看了要流泪、程序员看了要心碎、所有 PR 可能要围上来堵上嘴的数据和公司名称缩写:
100天之内这场测试获得了全球X0000台主机的控制权,其中XX000台是最高权限,中招公司(名称缩写)的涵盖范围有:(出于保密不放出缩写了)正经的大公司基本不落,还有各种牛叉的国际高校和严肃机构……
(其实,现场参加的黑客大牛们都知道了公司名称和具体数字,并举起了手机拍照,但素,我们闭紧了嘴巴。。。。)
幸好,这次主导进行实验的都是正经的安全研究员,开展的是善意的网络安全测试,只记录了账户名用作统计。
但一个让人后怕的细节是,在 100天的实验期中,他们将自己收集账户名的行为明明白白地暴露出来,没有隐藏痕迹,但直到国外有人发觉,并进行了新闻报道,有些厂商还后知后觉。
做了这么多,这个测试只是想证明一个观点:如果软件供应链源头产生污染,影响是辣么大。
编辑突然对杭特说的历史事件有了更深的感悟:
2015年, Xcode Ghost这种手机病毒通过非官方下载的 Xcode 传播,能够在开发过程中通过 CoreService 库文件进行感染,使编译出的App被注入第三方的代码,向指定网站上传用户数据。苹果的应用商店AppStore无法检测出病毒,因为商店审核只能确定App调用了哪些系统API。于是带毒应用顺利进入苹果官方商店,而用户则通过苹果官方商店下载到了病毒应用。
你也许长了个经验:不要从非官方渠道下载。。。
但是,2017年,国外著名的免费系统优化和隐私保护软件 CCleaner 官方版被安全人员发现含有恶意代码,会偷偷执行 Floxif 木马。
然后,你可能连官方软件都不能轻易相信了。。。
程序员可能更崩溃:我连自己辛辛苦苦写的代码都不能相信了?
所以,杭特想举办一场阿里软件供应链安全大赛,这个比赛的特点是,通过自动化软件进行供应链安全风险点检测。
不懂,怎么玩
我们从目标倒推说起。杭特的目标是:提升业界检测软件恶意行为的能力。
于是,他想到,这是一个参赛者涵盖了出题人和答题人的比赛,大意就是,出题人在上面搞出来一些事情,看答题人能不能检测出来,这样你强我也强,清风拂山岗。
但是,供应链的范围太广了,像大海一样,杭特并不希望,这沦为一场人肉战:人走了,这家公司可能就失去了这种能力,得把检测软件恶意行为的能力以能传承的方式积累起来。
因此,这是一场通过平台、工具的形式来比拼的比赛!
杭特还希望,这次比赛是个催化剂,他们将与优秀团队合作,让真正有能力的团队获得支持,能坚持下去,从而提升整个业界的检测能力。
比如,当天会议现场,腾讯玄武实验室的小哥哥丁川达就介绍了一个名为 “Project A'Tuin” 的供应链安全检测的实践项目。
杭特当场表示:小哥哥来参加比赛吧。
(脑补一下只是受邀做个演讲还没心理准备的丁川达的内心情感)
不过,有意思的是,杭特说:“初赛就是怎么玩都可以,让大家没有顾虑来参赛,我就看你是否具备检测特定恶意行为的能力,我们希望决赛有知识产权共享,这个共享不是说你得分享方案,而是通过这种类似于论文答辩的形式,能够向大家证明这个方案是行得通的。”
这意味着,未来如果有可能,我们居然能看到两个老对手合作的盛况,至于阿里如何和参赛方妥善商量知识产权的问题,这就是以后的故事了。
鸣谢一起举办这次“软件供应链安全”技术研讨会的InForSec
原来黑客大牛们的闭门会议也是这么的
爱拍照!
推荐系统
雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载
系统大小:0MB系统类型:WinXP雨林木风在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业知名品牌,雨林木风WindowsXP其系统口碑得到许多人认可,积累了广大的用户群体,是一款稳定流畅的系统,雨林木风 winxp下载 纯净版 永久激活 winxp ghost系统 sp3 系统下载,有需要的朋友速度下载吧。
系统等级:进入下载 >萝卜家园win7纯净版 ghost系统下载 x64 联想电脑专用
系统大小:0MB系统类型:Win7萝卜家园win7纯净版是款非常纯净的win7系统,此版本优化更新了大量的驱动,帮助用户们进行舒适的使用,更加的适合家庭办公的使用,方便用户,有需要的用户们快来下载安装吧。
系统等级:进入下载 >雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载
系统大小:1.01GB系统类型:WinXP雨林木风xp系统 xp系统纯净版 winXP ghost xp sp3 纯净版系统下载,雨林木风WinXP系统技术积累雄厚深耕多年,采用了新的系统功能和硬件驱动,可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,加固了系统安全策略,运行环境安全可靠稳定。
系统等级:进入下载 >萝卜家园win10企业版 免激活密钥 激活工具 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,(win10企业版,win10 ghost,win10镜像),萝卜家园win10企业版 免激活密钥 激活工具 ghost镜像 X64位系统下载,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园
系统等级:进入下载 >萝卜家园windows10游戏版 win10游戏专业版 V2023 X64位系统下载
系统大小:0MB系统类型:Win10萝卜家园windows10游戏版 win10游戏专业版 ghost X64位 系统下载,萝卜家园在系统方面技术积累雄厚深耕多年,打造了国内重装系统行业的萝卜家园品牌,其系统口碑得到许多人认可,积累了广大的用户群体,萝卜家园win10纯净版是一款稳定流畅的系统,一直以来都以用户为中心,是由萝卜家园win10团队推出的萝卜家园win10国内镜像版,基于国内用户的习惯,做
系统等级:进入下载 >windows11下载 萝卜家园win11专业版 X64位 V2023官网下载
系统大小:0MB系统类型:Win11萝卜家园在系统方面技术积累雄厚深耕多年,windows11下载 萝卜家园win11专业版 X64位 官网正式版可以更好的发挥系统的性能,优化了系统、驱动对硬件的加速,使得软件在WINDOWS11系统中运行得更加流畅,加固了系统安全策略,WINDOWS11系统在家用办公上跑分表现都是非常优秀,完美的兼容各种硬件和软件,运行环境安全可靠稳定。
系统等级:进入下载 >
相关文章
- 如何解决锐龙2200g死机蓝屏
- Win8.1本地搜索为什么无法使用
- Win8.1无线网络不稳定/掉线怎么办
- 电脑机箱漏电怎么消除?电脑机箱漏电是哪里的问题?
- 电脑开不了机怎么办?电脑无法开机怎么解决?
- 硬盘双击无法打开的问题该怎么办
- 风行下载速度慢甚至是为0怎么办?风行播放器下载问题及解决方法汇总
- 苹果回应新的iOS恶意软件YiSpector:已在iOS8.4中解决该问题
- 没有路由器怎么连无线 160wifi 解决没有路由器连接无线问题
- 维棠FLV下载视频失败问题汇总及解决方法
- Word2016 出现“此功能看似已中断 并需要修复”问题解决方案(图文)
- Cisco管理的35个常见问题及解答
- NanoStudio怎么用?NanoStudio使用方法及常见问题
- IE浏览器登录网上银行时出现崩溃问题的解决办法
热门系统
推荐软件
推荐应用
推荐游戏
热门文章
常用系统
- 1win11最新娱乐版下载 技术员联盟x64位 ghost系统 ISO镜像 v2023
- 2电脑公司windows7纯净版 ghost x64位 v2022.05 官网镜像下载
- 3外星人系统Win11稳定版系统下载 windows11 64位稳定版Ghost V2022
- 4win11一键装机小白版下载 外星人系统 x64位纯净版下载 笔记本专用
- 5萝卜家园Ghost win10 64位中文版专业版系统下载 windows10纯净专业版下载
- 6【国庆特别版】番茄花园Windows11高性能专业版ghost系统 ISO镜像下载
- 7青苹果系统 GHOST WIN7 SP1 X64 专业优化版 V2024
- 8深度技术ghost win7纯净版最新下载 大神装机版 ISO镜像下载
- 9雨林木风windows11中文版免激活 ghost镜像 V2022.04下载