压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

本周一PHP項(xiàng)目宣布遭到黑客攻擊，PHP的主Git服務(wù)器被非法訪(fǎng)問(wèn)，攻擊者上載了兩個(gè)惡意提交，其中包括后門(mén)，但在投入生產(chǎn)環(huán)境之前就被發(fā)現(xiàn)了。

PHP是最流行的Web開(kāi)發(fā)開(kāi)源腳本語(yǔ)言之一，代碼可嵌入HTML。惡意提交被推送到php-src存儲(chǔ)庫(kù)，從而為攻擊者提供了一個(gè)供應(yīng)鏈攻擊機(jī)會(huì)，感染不知情的網(wǎng)站。

兩次提交都聲稱(chēng)在源代碼中“修正了拼寫(xiě)錯(cuò)誤”。根據(jù)周日Popov發(fā)送到該項(xiàng)目郵件列表的消息，攻擊者使用PHP的維護(hù)者Rasmus Lerdorf和Nikita Popov的名稱(chēng)上傳了這些文件。Popov認(rèn)為這不僅是憑證盜竊那么簡(jiǎn)單。

他解釋說(shuō)：“我們還不知道這是怎么發(fā)生的，但是一切都指向git.php.net服務(wù)器被入侵（而不僅是單個(gè)git賬戶(hù)的入侵）。”

為了應(yīng)對(duì)這種黑客攻擊，PHP已將其服務(wù)器移至GitHub。

“雖然調(diào)查仍在進(jìn)行中，但我們認(rèn)為維護(hù)自己的git基礎(chǔ)結(jié)構(gòu)是不必要的安全風(fēng)險(xiǎn)，我們將停止git.php.net服務(wù)器，”P(pán)opov解釋說(shuō)。“相反，GitHub上以前只是鏡像的存儲(chǔ)庫(kù)將成為主存儲(chǔ)庫(kù)。更改將被直接推送到GitHub而不是git.php.net…此更改也意味著現(xiàn)在可以直接在GitHub Web界面合并pull requests請(qǐng)求。”

他還指出，PHP正在檢查其所有存儲(chǔ)庫(kù)中是否存在其他惡意提交。

武器化軟件供應(yīng)鏈

利用開(kāi)放源代碼存儲(chǔ)庫(kù)作為攻擊網(wǎng)站和應(yīng)用程序的手段并不少見(jiàn)。

例如，3月研究人員在npm公共代碼存儲(chǔ)庫(kù)中發(fā)現(xiàn)了針對(duì)Amazon、Lyft、Slack和Zillow（以及其他）內(nèi)部應(yīng)用程序的惡意程序包-所有這些程序包都泄露了敏感信息。這些軟件包利用了概念驗(yàn)證（PoC）代碼依賴(lài)關(guān)系混淆漏洞，這是安全研究人員Alex Birsan最近設(shè)計(jì)的，用于將流氓代碼注入開(kāi)發(fā)人員項(xiàng)目。

同時(shí)在一月，三個(gè)惡意軟件包被發(fā)布到npm，通過(guò)使用brandjacking偽裝成合法代碼。研究人員說(shuō)，任何被代碼入侵的應(yīng)用程序都可能從Discord用戶(hù)那里竊取令牌和其他信息。

去年12月，人們?cè)赗ubyGems（一個(gè)用于Ruby Web編程語(yǔ)言的開(kāi)源軟件包存儲(chǔ)庫(kù)和管理器）中發(fā)現(xiàn)兩個(gè)帶有惡意軟件的軟件包，隨后將其兩個(gè)軟件包脫機(jī)。