注册
登录
| 关键词： 软件包 这个 一个 恶意 process 代码 地址 就是 网站 字母 |
最近一位名叫 Sean Murphy 的国外程序员发文称，他在 PHP 软件包仓库 Packagist 中发现了一个恶意软件包名字叫做 symfont/process 。 这个软件包之所以叫 symfont/process ， 是因为有一个叫做 symfony/process 的著名软件包，symfony/process 的下载量高达 3 亿， 而这个软件包和 symfony/process 只差一个字，字母 y 变成字母 t  symfony/process 这一个字之差不要紧，因为要知道，在键盘上字母 t 和字母 y 是紧挨着的，symfony/process这个软件包有这么高的下载量，难免有人在开发的时候敲错一个字母，那么你就无意间安装了一个 symfont/process 的恶意软件包。
Sean 发现，当你安装了这个恶意软件包之后，只要执行了 new Symfony\Process\Process() 这个函数，就会触发恶意代码，这个代码很有意思，具体来说就是先从 1 到 1000 随机取一个整数，如果随机出来的数大于 990，那么就会将当前服务器的信息发送到一个指定的网址上。  随机函数代码截图 另外，恶意代码还会检测当前请求地址中是否包含一个特定的字符串 “  units.php 包含一个完整的攻击脚本 什么意思呢？ 简单来说，就是当你运行到这段恶意代码时，如果你运气不好，随机到了一个大于 990 的数，你的服务器信息就会发送到黑客指定的网址，这时黑客就知道了：奥，这个网站安装了我这个恶意软件包，现在已经被我植入了漏洞。 接下来，黑客只需要访问你的网站并且在网站中加入那个特定的字符串，就会运行攻击脚本。 那这个字符串代表什么意思呢？ 原来它就是单词 “hack”（攻击） 的MD5值。 接下来，Sean 顺藤摸瓜，找到了这个恶意软件包的作者的信息，他发现这个软件包是被一个在广东的 GitHub 用户在 2019 年 7 月 22 号 到 23 号上传的。 在这个人的 GitHub 主页上，有他的个人照片，邮箱，个人网站地址和他所在的城市  Sean 贴出的Github截图，马赛克是我打的 事情到了这里，似乎比较明朗了，但是有没有可能是这个人的 GitHub 账户被盗了，别人用他的账号发布的这个恶意软件呢？ Sean 接着查，发现在这个软件包中，黑客设置一个网址 来接收被黑的服务器的信息，这个网址是注册在阿里巴巴的域名系统下的。 他查询到这个网站的另一个子域名，曾经映射到了一个 IP 地址，而这个人 GitHub 账号上写的个人网站地址也映射到了同一个 IP 地址上。 这下基本就完全断定了，就是此人所为。 另外，在搜索这个域名的时候，还有一个意外发现，就是这个IP地址的绑定的域名中有好多是假的苹果网站的域名，这些高仿苹果网站的域名很大可能是此人另外一些用于向苹果用户钓鱼的网站用的。
Sean分析完之后，就通知了PHP软件包仓库，目前在这个仓库中已经搜不到这个恶意软件包了。 |
| 本文出处： https://www.toutiao.com/a7006675590522601998/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
