TL; DR
Ìbámu axios npm fihàn Báwo ni pq ipese igbalode ṣe ń kọlu lo àwọn ìgbẹ́kẹ̀lé tí a gbẹ́kẹ̀lé láti wọlé sí àwọn ìwífún pàtàkì ní àkókò ìṣiṣẹ́. Ọ̀pọ̀ àwọn olùwádìí ààbò ti ṣe àgbéyẹ̀wò ìṣẹ̀lẹ̀ yìí, pẹ̀lú àwọn àlàyé kíkún láti inú Unit42 agbegbe ile-iṣẹ ti n ṣe afihan awọn ilana idanimọ ti o ni asopọ pẹlu iṣẹ-ṣiṣe orilẹ-ede-ipinlẹ.
Iṣẹlẹ yii ni ipa lori:
- Àwọn ẹgbẹ́ DevOps tí ń ṣiṣẹ́ CI/CD pipelines pẹlu ìfàṣẹsí tí ó dá lórí àyíká
- Awọn iṣẹ ẹhin ti n ṣakoso awọn ibeere API ti a fọwọsi
- Àwọn ohun èlò tí ń lo axios fún ìbánisọ̀rọ̀ HTTP inú àti òde
Nítorí pé axios wà ní ìpele ìbéèrè, ẹ̀yà tí a ti bàjẹ́ lè wọlé sí:
- Àwọn àkọlé àṣẹ àti API àmi
- Awọn iyipada ayika ati awọn aṣiri
- Ibaraẹnisọrọ iṣẹ inu
Àkóbá gidi kìí ṣe ìgbẹ́kẹ̀lé ara rẹ̀, bí kò ṣe ohun tí ó lè rí nígbà tí a bá ti ṣe é.
Awọn iṣe lẹsẹkẹsẹ:
- Àwọn ẹ̀yà ìgbẹ́kẹ̀lé titiipa àti àtúnyẹ̀wò àwọn àtúnṣe tuntun
- Yi awọn bọtini API, awọn ami, ati CI/CD awọn iwe eri
- Ṣe àkíyèsí àwọn ìbéèrè tí ń jáde lọ àti iṣẹ́ ìfàṣẹsí
- Irowo pipelines fún àwọn àṣírí tí a fi hàn
Ohun tó ṣẹlẹ̀ nínú ìkọlù Axios npm
Iṣẹlẹ axios naa tẹle ilana ti ndagba ninu awọn ikọlu pq ipese, nibiti awọn olukoni dojukọ awọn igbẹkẹle ti a lo jakejado dipo awọn ailagbara ohun elo.
Nípa ṣíṣe àdéhùn tí a gbẹ́kẹ̀lé, àwọn agbéjàko máa ń ṣe iṣẹ́ wọn ní ẹgbẹẹgbẹ̀rún àyíká ní àkókò kan náà.
Nítorí pé axios jẹ́ ọ̀kan lára àwọn oníbàárà HTTP tí a ń lò jùlọ nínú ètò ìṣiṣẹ́ JavaScript, ó ti di mọ́ra gidigidi:
- Awọn iṣẹ afẹyinti
- Àwọn ohun èlò ìṣáájú
- CI/CD pipelines
Èyí mú kí ó jẹ́ àfojúsùn tó níye lórí.
Nígbà tí a bá ti ṣe àgbékalẹ̀ ẹ̀yà búburú kan tí a sì ti ṣe é, ó máa jogún àwọn àṣẹ kan náà gẹ́gẹ́ bí ohun èlò tí ó kó o wọlé. Èyí pẹ̀lú wíwọlé sí ìjáde nẹ́tíwọ́ọ̀kì, àwọn ìwé ẹ̀rí, àti àwọn iṣẹ́ inú.
Àdéhùn náà tún gba àfiyèsí tó gbòòrò ju àwùjọ ààbò lọ, pẹ̀lú àwọn ìròyìn bíi Axios agbegbe
títọ́ka sí àwọn ìbáṣepọ̀ tó ṣeé ṣe pẹ̀lú àwọn olùṣe ewu tó ti ní ìlọsíwájú àti àwọn ìpolówó tó ṣètò.
Ohun ti Axios Attack Ṣe Ni Akoko Runtime
Kókó pàtàkì láti lóye ìkọlù yìí ni láti dojúkọ ìwà ìgbà tí a bá ń ṣiṣẹ́.
Axios n ṣiṣẹ́ ní ipele HTTP, èyí tí ó túmọ̀ sí wípé ó ń bójútó àwọn ìbéèrè tí ń jáde lọ. Èyí fún un ní ìrísí taara sí àwọn dátà onímọ̀lára tí ń ṣàn nípasẹ̀ ohun èlò náà.
Ẹ̀yà tí ó ní ìṣòro lè:
- Dá àwọn ìbéèrè tí ń jáde dúró kí wọ́n tó fi wọ́n ránṣẹ́
- Yaworan
AuthorizationÀwọn àkọlé àti àwọn àmì API - Wọle si awọn iyipada ayika nipasẹ
process.env - Ṣe akiyesi ibaraẹnisọrọ laarin awọn iṣẹ inu
Fún àpẹẹrẹ, ẹ̀rọ ìdènà búburú kan lè yọ àwọn àkọlé ìfàṣẹsí jáde kí ó sì fi wọ́n ránṣẹ́ sí ibi tí ó wà ní ìta.
Ni akoko kanna, wiwọle si awọn iyipada ayika gba awọn olukọlu laaye lati gba awọn iwe-ẹri pada laisi iyipada ero-ọrọ ohun elo.
Láti òde, ohun gbogbo ń bá a lọ láti ṣiṣẹ́ bí a ṣe retí. Àwọn ìbéèrè parí ní àṣeyọrí, àwọn iṣẹ́ ń dáhùn déédéé, àti pipelines kò fi àmì ìkùnà hàn. Ní àkókò kan náà, àwọn ìwífún onímọ̀lára lè ti farahàn nípasẹ̀ àwọn ipa ọ̀nà ìṣe àtẹ̀lé.
Ìṣàn Ìkọlù Axios: Láti inú Àpò Tí Ó Déédé sí Ìfihàn Àṣírí
1. Adehun
Olùkọlù kan gba àkóso lórí àkọọ́lẹ̀ olùtọ́jú tí a gbẹ́kẹ̀lé tàbí ipa ọ̀nà ìtújáde àkójọpọ̀ nínú ètò axios.
2. Pinpin
Àwọn ẹ̀yà búburú ni a tẹ̀ jáde sí npm tí a sì fà wọ́n sí àwọn ẹ̀rọ olùgbékalẹ̀, CI/CD pipelines, àti ohun èlò náà ń kọ́ nípasẹ̀ àwọn àtúnṣe ìgbẹ́kẹ̀lé déédé.
3. Ìṣe Àkókò Ìṣiṣẹ́
Ẹrù iṣẹ́ náà máa ń ṣiṣẹ́ nígbà tí a bá kó àwọn axios wọlé tí a sì lò wọ́n, ó sì máa ń jogún àwọn àǹfààní àkókò ìṣiṣẹ́ kan náà gẹ́gẹ́ bí ohun èlò náà.
4. Iwọle si ikoko
Ìgbẹ́kẹ̀lé tí a kọ̀ sílẹ̀ yìí ń jẹ́ kí a rí àwọn àkọlé, àwọn àmì, àwọn oníyípadà àyíká, àti ìbánisọ̀rọ̀ HTTP inú.
5. Ìtújáde omi
A fi àwọn ìwífún tó ní ìpamọ́ ránṣẹ́ sí àwọn ẹ̀rọ amúṣẹ́gun tí àwọn olùkọlù ń ṣàkóso nígbàtí àwọn ìbéèrè àtilẹ̀wá náà ń bá a lọ láti ṣiṣẹ́ déédéé.
Awọn itọka ti Ifarada (IoCs)
Láti ṣe ìwádìí nípa ìfarahàn tó ṣeéṣe, àwọn ẹgbẹ́ gbọ́dọ̀ bẹ̀rẹ̀ nípa ṣíṣe àtúnyẹ̀wò àwọn àmì tí a mọ̀ tí ó níí ṣe pẹ̀lú ìforígbárí axios. Táblì tí ó wà ní ìsàlẹ̀ yìí ṣàkópọ̀ àwọn àmì tí ó ṣe pàtàkì jùlọ láàárín àwọn ìdìpọ̀, ìgbòkègbodò nẹ́tíwọ́ọ̀kì, àti àwọn ohun èlò ìgbàlejò.
Báwo ni a ṣe lè túmọ̀ àwọn IoC wọ̀nyí
Bó tilẹ̀ jẹ́ pé àwọn àmì wọ̀nyí wúlò, a kò gbọ́dọ̀ kà wọ́n sí ọgbọ́n ìwádìí pípé.
Ní ìṣe, irú àwọn ìkọlù bẹ́ẹ̀ kìí sábà gbára lé àmì kan ṣoṣo tí kò dúró. Àwọn agbègbè máa ń yípadà, àwọn ẹrù ìsanwó máa ń yípadà, àwọn hashe sì máa ń di ohun tí kò ní ìyípadà kíákíá. Ohun tí ó ṣì wà ní ìbámu ni ìwà náà.
Fún àpẹẹrẹ, àwọn ìbéèrè ìjáde tí a kò retí nígbà tí a bá ń ṣe HTTP déédéé lè fi hàn pé a ti yọ ìfọ́mọ́ra dàtà. Bákan náà, lílo àwọn ìwé ẹ̀rí tó wúlò ní àwọn ipò tí kò wọ́pọ̀ sábà máa ń fi hàn pé a ti tú àṣírí síta.
Ní ìpele olùgbàlejò, wíwà àwọn ìwé àkọsílẹ̀ ìgbà díẹ̀ tàbí àwọn onípele méjì lè dámọ̀ràn ìgbòkègbodò lẹ́yìn ìlòkulò, pàápàá jùlọ nígbà tí a bá so pọ̀ mọ́ àwọn àìdámọ̀ràn nẹ́tíwọ́ọ̀kì.
Ni awọn ọrọ miiran, awọn IoCs ṣe iranlọwọ fun ọ lati jẹrisi iṣẹlẹ kan.
Sibẹsibẹ, oye iwa ni ohun ti o fun ọ laaye lati ṣe awari rẹ ni kutukutu.
| Ẹka | Atọka | awọn alaye |
|---|---|---|
| package | axios@1.14.1 | shasumu: 2553649f2322049666871cea80a5d0d6adc700ca |
| package | axios@0.30.4 | shasumu: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71 |
| durode | plain-crypto-js@4.2.1 | shasumu: 07d889e2dadce6f3910dcbc253317d28ca61c766 |
| Network | sfrclak[.]com | Àṣẹ-àti-ìṣàkóso agbègbè |
| Network | 142.11.206[.]73 | IP amayederun ti o jọmọ |
| Network | http://sfrclak[.]com:8000/6202033 | Àkíyèsí ìparí ìyọkúrò omi |
| MacOS | /Library/Caches/com.apple.act.mond | SHA256: 92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a |
| Windows | %PROGRAMDATA%\wt.exe | Ohun èlò ìfaradà tó ṣeé ṣe |
| Windows | %TEMP%\6202033.vbs | Àwòrán ìṣeṣe tí ó dá lórí ìwé àfọwọ́kọ |
| Windows | %TEMP%\6202033.ps1 | Iṣẹ́ ìsanwó PowerShell. SHA256: 617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101 |
| Linux | /tmp/ld.py | SHA256: fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf |
Àkọsílẹ̀ ìwádìí: Àwọn IoC wọ̀nyí jẹ́ ibi ìbẹ̀rẹ̀ tó wúlò fún wíwá ewu. Síbẹ̀síbẹ̀, àwọn agbésùn lè yí àwọn agbègbè, ẹrù ìsanwó, àti àwọn ohun èlò ìṣẹ̀dá padà ní kíákíá. Nítorí ìdí èyí, àwọn ẹgbẹ́ gbọ́dọ̀ so àwọn àmì wọ̀nyí pọ̀ mọ́ àwọn àmì ìwà bíi ìrìnà HTTP tí a kò retí, ìwọlé tí kò dára sí process.env, àti àwọn àtúnṣe ìgbẹ́kẹ̀lé aláìlọ́gbọ́n.
Àpẹẹrẹ: Báwo ni ìgbẹ́kẹ̀lé Axios npm tí ó ní ìdààmú ṣe lè mú kí dátà jáde
Láti lóye bí ìkọlù Axios npm yìí ṣe ń ṣiṣẹ́ ní ìṣe, ẹ wo àpẹẹrẹ kan tí ó rọrùn.
Axios gba awọn olupilẹṣẹ laaye lati ṣalaye awọn oludibo ibeere. Awọn oludibo wọnyi n ṣiṣẹ laifọwọyi ṣaaju ibeere HTTP kọọkan.
Ẹ̀yà ìkà kan ti àwọn axios lè lo ìlànà yìí nílòkulò:
Idi ti ikọlu Axios npm fi lewu
Ní àkọ́kọ́, kò sí ohun tó burú. A ṣe ìbéèrè náà ní àṣeyọrí, ìbéèrè náà ń hùwà bí a ṣe retí, àti pipelines tesiwaju lati kọja laisi awọn aṣiṣe.
Sibẹsibẹ, awọn alaye pataki naa waye ṣaaju ki a to fi ibeere naa ranṣẹ. Lakoko window ipaniyan yẹn, igbẹkẹle ti a ti bajẹ le wọle si ati gba awọn data pataki gẹgẹbi awọn akọle aṣẹ, awọn ami API, metadata ibeere, ati awọn oniyipada ayika.
Nítorí pé ìlànà yìí ń ṣiṣẹ́ nínú ilé ìkàwé tí a gbẹ́kẹ̀lé tí ó wà ní ojú ọ̀nà ìbéèrè HTTP tààrà, ó ń ṣiṣẹ́ dáadáa pẹ̀lú àwọn àǹfààní kan náà gẹ́gẹ́ bí ohun èlò náà fúnra rẹ̀. Nítorí náà, ó lè wọlé sí àwọn ìwífún tí a sábà máa ń dáàbò bò lọ́wọ́ àwọn olùkọlù láti òde.
Ohun tó mú kí èyí léwu gan-an kì í ṣe wíwọlé dátà nìkan, ṣùgbọ́n àìsí ipa tó hàn gbangba. Kò sí ìdènà nínú iṣẹ́, kò sí ìbéèrè tó kùnà, bẹ́ẹ̀ ni kò sí àmì tó ń fi hàn pé nǹkan kan kò tọ́. Láti ojú ìwòye iṣẹ́, ohun gbogbo ń bá a lọ láti ṣiṣẹ́ bí a ṣe retí.
Nibayi, alaye pataki le ti n fi eto naa silẹ nipasẹ awọn asopọ ti njade ti o dapọ mọ ijabọ ohun elo deede.
Idi ti Eyi Fi Jẹ Iṣoro DevOps Ni Akọkọ
Fún àwọn ẹgbẹ́ DevOps, irú ìkọlù yìí ṣòro láti rí nítorí pé ó ń ṣọ̀kan pẹ̀lú àwọn iṣẹ́ ìṣiṣẹ́ tó wà tẹ́lẹ̀ láìsí ìṣòro.
Awọn igbẹkẹle ti fi sori ẹrọ laifọwọyi, pipelines ṣe deedee, ati pe ko si awọn ikuna lẹsẹkẹsẹ ti o waye.
Ni akoko kan naa, CI/CD Àwọn àyíká sábà máa ń fi àwọn ẹ̀rí tó níye lórí hàn, títí bí:
- Àwọn àmì olùpèsè ìkùukùu
- Àwọn kọ́kọ́rọ́ ìṣíṣẹ́
- CI/CD àwọn àṣírí ìfàṣẹsí
Ìgbẹ́kẹ̀lé tí ó ní ìbàjẹ́ tí ó ń ṣiṣẹ́ ní àyíká yìí lè wọlé sí àwọn ìwé ẹ̀rí wọ̀nyẹn tààrà.
Èyí máa ń ṣẹ̀dá ipò kan níbi tí ohun gbogbo ti rí bí ohun tó wà ní ipò tó yẹ, nígbà tí a ń rí àwọn ìwífún tó ṣe pàtàkì ní ẹ̀yìn.
Ewu gidi: Ifihan ikoko ni iwọn
Àdéhùn axios npm fi hàn pé ó ṣe pàtàkì láti ṣe àtúnṣe sí àwọn ọgbọ́n ìkọlù òde òní.
Ète náà kì í ṣe láti lo àwọn àìlera mọ́, ṣùgbọ́n láti wọlé sí àwọn ìwé ẹ̀rí tó wúlò.
Nítorí pé àwọn ètò ìgbàlódé gbára lé ìfọwọ́sowọ́pọ̀ tó dá lórí àyíká, ìgbẹ́kẹ̀lé tó ń ṣiṣẹ́ ní àkókò ìṣiṣẹ́ lè wọlé sí:
- Awọn bọtini API
- Àwọn àmì iṣẹ́
- Àwọn ìwé ẹ̀rí ìkùukùu
Kò sí ìdí láti rú àwọn ìwé ẹ̀rí wọ̀nyí.
Wọ́n kàn nílò láti lò wọ́n.
Èyí ń jẹ́ kí àwọn olùkọlù gbéra láti ẹ̀gbẹ́, láti wọlé sí àwọn iṣẹ́, àti láti fa ìwífún jáde nípa lílo ìjẹ́rìísí tó tọ́.
Nítorí náà, ipa náà sinmi lórí àwọn àṣírí tí a tú síta, kì í ṣe lórí bí a ṣe ṣe ìkọlù náà.
Kí ló dé tí àwọn irinṣẹ́ ààbò ìbílẹ̀ fi pàdánù èyí
Àwọn ọ̀nà ìbílẹ̀ ń jìjàkadì láti ṣàwárí àwọn ìkọlù wọ̀nyí nítorí wọ́n dojúkọ àwọn àìlera tí a mọ̀ tàbí àwọn àmì ìfọwọ́sowọ́pọ̀ tí kò dúró. Síbẹ̀síbẹ̀, gẹ́gẹ́ bí a ti tẹnumọ́ nínú Ìwádìí OpenAI Nínú àdéhùn ohun èlò olùgbéjáde axios, ewu gidi máa ń yọjú ní àkókò ìṣiṣẹ́, níbi tí àwọn ìgbẹ́kẹ̀lé tí a gbẹ́kẹ̀lé bá ń bá àwọn ìwífún tí ó ṣe pàtàkì mu.
Sibẹsibẹ, igbẹkẹle ti o bajẹ le ma ni awọn itọkasi ti o han gbangba eyikeyi.
O le wa:
- Ko si CVE
- Ko si ibuwọlu ibi
- Kò sí ìṣètò àìdọ́gba
Ní àkókò kan náà, ìwádìí àìdúró kì í ṣe àyẹ̀wò ìwà ìṣiṣẹ́ àkókò. Kò lè pinnu bí ìgbẹ́kẹ̀lé ṣe ń bá àwọn ìwífún onímọ̀lára mu nígbà tí a bá ti ṣe é.
Èyí máa ń ṣẹ̀dá àlàfo kan níbi tí kódì náà ti máa ń fara hàn ní ààbò nígbà ìṣàyẹ̀wò ṣùgbọ́n ó máa ń di ewu nígbà tí a bá ń ṣe é.
Bí a ṣe lè rí àti dènà àwọn ìkọlù bíi ti Axios npm
Láti dènà irú ìkọlù Axios npm yìí nílò ìyípadà láti àyẹ̀wò àìdúró sí ìmọ̀ nípa àkókò ìṣiṣẹ́.
Àwọn ẹgbẹ́ nílò ìrísí bí àwọn tí wọ́n gbẹ́kẹ̀lé ṣe ń hùwà, kìí ṣe ohun tí ó wà nínú wọn nìkan.
Eyi pẹlu:
- Abojuto iwọle si data pataki ni akoko iṣiṣẹ
- Ṣíṣàwárí àwọn àṣírí kí wọ́n tó dé ibi ìkópamọ́
- Antivirus pipelineàwọn ohun èlò àti àwọn ohun èlò fún àwọn ìwé ẹ̀rí tí a fi hàn
- Ṣíṣàkíyèsí iṣẹ́ nẹ́tíwọ́ọ̀kì tí ń jáde lọ fún àwọn àìdáa
Sibẹsibẹ, wiwa nikan ko to.
Láti Ìwádìí sí Ìdènà: Kí Ni Ó Dín Ewu Kù Ní Tiẹ̀
Lẹ́yìn ìṣẹ̀lẹ̀ bí èyí, àwọn ẹgbẹ́ sábà máa ń dojúkọ ọ̀pọ̀lọpọ̀ ẹ̀rí tó ṣeé ṣe kí wọ́n fi hàn.
Ìpèníjà náà kì í ṣe wíwá wọn. Ó jẹ́ mímọ èyí tí ó ṣe pàtàkì.
Ibeere pataki naa di:
Àwọn àṣírí wo ló ṣì wúlò tí a sì lè lò?
Láìsí ìfìdí múlẹ̀, àwọn ẹgbẹ́ máa ń lo àkókò lórí ìwé ẹ̀rí tí kò ṣiṣẹ́ nígbà tí àwọn ewu gidi ṣì wà ní ṣíṣí sílẹ̀.
Idahun to munadoko nilo:
- Ṣíṣàwárí àwọn àṣírí tí a ti ṣí sílẹ̀
- N fìdí rẹ̀ múlẹ̀ bóyá wọ́n ṣì ń fúnni ní ààyè láti wọlé
- Yíyọ wọn kúrò tàbí yíyí wọn padà kíákíá
Èyí dín àkókò ìfarahàn kù, ó sì dín àkókò ìkọlù náà kù.
Báwo ni Xygeni ṣe ń dín ewu ẹ̀wọ̀n ìpèsè kù
Xygeni koju ipenija yii nipa sisopọ wiwa, ijerisi, ati atunse sinu iṣẹ-ṣiṣe kanṣoṣo.
Ó máa ń fi àwọn àṣírí tí a ti fi hàn hàn hàn ní gbogbo ìgbà, pipelines, àti àwọn ohun ìṣẹ̀dá. Ní àkókò kan náà, ó ń fìdí rẹ̀ múlẹ̀ bóyá àwọn ìwé ẹ̀rí wọ̀nyẹn ṣì ń ṣiṣẹ́ nínú àyíká.
Èyí á jẹ́ kí àwọn ẹgbẹ́ lè pọkàn pọ̀ sórí ohun tí àwọn olùkọlù lè lò ní gidi.
Nígbà tí a bá ti rí àwọn àṣírí tó ń ṣiṣẹ́, àwọn iṣẹ́ àtúnṣe aládàáṣe ń dín àkókò ìfarahàn kù nípasẹ̀ ìfàsẹ́yìn tàbí ìyípo tí a ṣàkóso.
Nítorí náà, ìdáhùn náà máa ń yára sí i, ó sì máa ń di ohun tó yẹ kí ó ṣe tẹ́lẹ̀cise, ati pe o kere si idamu.
ipari
Àdéhùn axios npm fi bí àwọn ìkọlù pq ipese ṣe ń yípadà hàn.
Àwọn olùkọlù kò nílò láti fọ́ àwọn ètò mọ́. Wọ́n gbẹ́kẹ̀lé àwọn ìgbẹ́kẹ̀lé tí a gbẹ́kẹ̀lé láti lè rí àwọn ìwífún pàtàkì nígbà tí a bá ń ṣe é.
Fún àwọn ẹgbẹ́ DevOps, èyí túmọ̀ sí lílóye ìwà ìgbà ìṣiṣẹ́. Fún àwọn olórí ààbò, ó túmọ̀ sí dín ìfarahàn kù kíákíá àti ní ọ̀nà tó dára.
Nítorí pé ní àwọn àyíká òde òní, ewu tó tóbi jùlọ kì í ṣe ohun tí wọ́n ń ṣe.
Ohun tí wọ́n máa ń wọlé sí ni nígbà tí ó bá ń ṣiṣẹ́.
