⛈ Атака на цепочку поставок Dependency Confusion

Привет! Году в 2019-2020 вышло исследование на тему данной атаки, она может применяется в вебе, тем самым можно получить RCE, данная атака принимается и в баг баунти
Автор этой атаки получил таким образом RCE в 35 компаний, давай разберемся в чем ее суть и как работает

🟢 Суть данной атаки в том, что нужно найти пакет, которого нет в публичном репозитории и создать пакет с точно таким же названием, сделать его вредоносным и версию выше чем прошлая и залить в публичный репозиторий, это затриггерит авто установщики и на сервер попадется твой вредоносный пакет

🟢 Пример: на сайте ты нашел файл package.json и увидел какие есть пакеты, осталось узнать какого пакета нет в публичном репозитории. После того как выявил пакет, надо создать вредоносный, с таким же названием но версией повыше, залить в публичный репозиторий и просто ждать отклик

🟠Более подробный пример эксплуатации можно глянуть тут: https://telegra.ph/RCE-cherez-Dependency-Confusion-05-11

🟠Как защититься: https://www.youtube.com/live/UY74Tw22gkw?feature=share

📌 Из нюансов этой атаки - отклик можно ждать от нескольких часов до недель(у кого-то даже месяцев), твой файл может подхватить разработчик компании(некоторые платформы бб это все равно принимают), твой файл может подхватить другая компания

ЧТНП | #web