@qinyun
2018-07-13T11:07:26.000000Z
字数 2000
阅读 1169
未分类
7月12日，黑客攻击了ESLint维护者的NPM帐户，并将带有病毒的eslint-scope和eslint-config-eslint软件包发布到NPM注册表中。带有恶意病毒的软件包在安装时，计算机会自动下载并执行pastebin.com代码，然后将含有NPM访问令牌的.npmrc文件内容发送给攻击者。
事件的起因是由于帐户遭到入侵的维护者在其他几个网站上设置的密码和npm上的一样，并且没有在他们的npm帐户上启用双重身份验证。
对此，ESLint团队表示：
我们对此表示遗憾，我们希望其他软件包维护者可以从我们的错误中吸取教训并提高整个npm生态系统的安全性。
恶意程序包包含在eslint-scope@3.7.2和eslint-config-eslint@5.0.2中，目前，它们都已经从npm中被移除出去了，pastebin.com在这些包中的链接也已被删除。
npm也已撤销在2018-07-12 12:30 UTC之前发出的所有访问令牌。因此，受此攻击影响的所有访问令牌都不再可用。
eslint-scope@3.7，是几个流行包的依赖项，包括一些旧版本的eslint和最新版本的babel-eslint和webpack。
eslint-config-eslint@5.0 是ESLint团队内部使用的配置，在其他地方使用很少。
据报道，受损版本是eslint-scope 3.7.2，是昨天发布的版本。3.7.1和4.0.0是安全的。如果你昨天已完成npm安装，请重置你的NPM令牌并再次安装npm。如果你使用了eslint-scope 3.7.2、ESLint 4或任何版本的Babel-ESLint（尚未更新到4.0.0），则会受到影响。
如果你运行自己的npm注册表，则应删除带有恶意病毒的软件包，它们在npmjs.com注册表中已经被删除了。
攻击方式：https://gist.github.com/hzoo/51cb84afdc50b14bffa6c6dc49826b3e
软件包维护者和用户应避免在多个不同的站点上重复使用相同的密码，1Password或LastPass这样的密码管理器可以帮助解决这个问题。
包维护者应该启用npm双重身份验证，可参照npm上的指南（https://docs.npmjs.com/getting-started/using-two-factor-authentication）。
如果你使用Lerna，则可以按此操作（https://github.com/lerna/lerna/issues/1091）。
软件包维护者应审核并限制有权在npm上发布的人数。
软件包维护者应注意使用任何自动合并依赖项的升级服务。
应用程序开发人员应使用 lockfile（package-lock.json或yarn.lock）来阻止自动安装新软件包。
事件发生之前：攻击者可能在第三方攻击中发现维护者重复使用的电子邮件和密码，并使用它们登录维护者的npm帐户。
2018年7月12日凌晨：攻击者在维护者的npm帐户中生成了一个身份验证令牌。
2018-07-12 9:49 UTC：攻击者使用生成的身份验证令牌发布eslint-config-eslint@5.0.2，其中包含泄露本地计算机.npmrc身份验证令牌的恶意脚本postinstall。
2018-07-12 10:25 UTC：攻击者删除eslint-config-eslint@5.0.2。
2018-07-12 10:40 UTC：攻击者发布eslint-scope@3.7.2，其中包含相同的恶意postinstall脚本。
2018-07-12 11:17 UTC：用户发布了eslint / eslint-scope＃39（https://github.com/eslint/eslint-scope/issues/39），通知ESLint团队出现此问题。
2018-07-12 12:27 UTC：包含恶意代码的pastebin.com链接被删除。
2018-07-12 12:37 UTC：npm团队在与ESLint维护人员联系后将eslint-scope@3.7.2删除。
2018-07-12 17:41 UTC：ESLint团队发布eslint-scope@3.7.3和eslint-scope@3.7.1的代码，以便缓存可以获取新版本。
2018-07-12 18:42 UTC：npm撤销了在2018-07-12 12:30 UTC之前生成的所有访问令牌。