RepoJacking 攻擊影響數(shù)百萬 GitHub 庫。

數(shù)百萬 GitHub 庫受到依賴庫劫持攻擊 "RepoJacking" 的影響，可以幫助攻擊者首先供應(yīng)鏈攻擊，影響數(shù)百萬用戶。

(資料圖片僅供參考)

RepoJacking 攻擊

GitHub 上用戶名和庫名是經(jīng)常變化的。如果企業(yè)被受到或合并，名字就會發(fā)生變化。名字發(fā)生變化后，就會創(chuàng)建重定向來避免破壞項目依賴。但如果有用戶注冊了原來的用戶名或庫名，重定向就無效了。

RepoJacking 攻擊是指惡意用戶注冊一個 GitHub 用戶名，并創(chuàng)建一個該組織過去使用的庫，然后修改其名。通過 RepoJacking 攻擊，攻擊者可以依賴被攻擊項目的依賴來從攻擊者控制的庫中取回依賴和代碼，其中可能包含惡意軟件。

攻擊案例

AquaSec 安全研究團隊 Nautilus 分析了 125 萬 GitHub 庫，發(fā)現(xiàn)其中 2.95% 可能受到 RepoJacking 攻擊的影響。GitHub 庫總數(shù)超過 3 億，按照 2.95% 的比例，超過 900 萬項目受到該攻擊的影響。

在 Google 的庫例子中，"Mathsteps" 項目指向?qū)儆?Socratic 的 GitHub 庫。Socratic 是谷歌收購的一家公司。攻擊者可以克隆庫來破壞重定向，用戶根據(jù) readme 文件指示會從惡意庫中下載惡意代碼。由于 readme 文件中包含 npm install 依賴命令，攻擊者的代碼可以在受害者設(shè)備上實現(xiàn)任意代碼執(zhí)行。

圖 谷歌 readme 文件中的命令

在 Lyft 的例子中，攻擊者可以自動執(zhí)行。研究人員在該公司的庫中發(fā)現(xiàn)一個安裝腳本，可以從另一個庫中取回一個 zip 壓縮文件，因此也受到 RepoJacking 攻擊的影響。

攻擊者首先注冊一個新的用戶名和使用正確名的庫（YesGraph 和 Dominus），然后可以注入代碼到任意執(zhí)行 Lyft 的 "install.sh" 腳本。

圖 指向外部庫的 Lyft 腳本

總結(jié)

GitHub 已經(jīng)意識到 RepoJacking 攻擊的可能性并實現(xiàn)了一些防護措施。但 AquaSec 稱這些防護措施還不夠充分，易被繞過。比如，GitHub 只對那些比較流行的項目進行保護。GitHub 會對克隆數(shù)超過 100 的項目修改名時進行保護。

RepoJacking 的風(fēng)險是非常廣泛的，也難以修復(fù)，會對企業(yè)和用戶帶來嚴重的風(fēng)險。項目所有者應(yīng)當(dāng)盡可能最小化從外部庫提取資源。

完整技術(shù)細節(jié)參見：https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking