25个恶意JavaScript 库通过NPM官方包仓库分发

最新推荐文章于 2024-06-18 11:30:49 发布
最新推荐文章于 2024-06-18 11:30:49 发布
阅读量552 收藏
点赞数
文章标签： 安全 java 信息安全 大数据 linux
原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247510675&idx=2&sn=a778ae74ffe2f1095ab0f758f7879a3b&chksm=ea949bf9dde312ef3baf0b0e2c892753ec74baa207331ff330547e90e5da4480464074b60f93&scene=126&&sessionid=0
版权

2e2f7eb53b5fa0c4458abd6d62352f18.gif 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

3bd70c3ca161ad9afc65631b06cfc334.png

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

a85c64ebcd598da057287db7eb9fe874.png

25个恶意 JavaScript 库嵌入NPM官方程序包注册表，目的是从受陷系统中窃取 Discord 令牌和环境变量，距离17个类似程序包被下架已过去两个多月的时间。

8aa2b4f50298e83d50fe28806de26f45.png

这些库利用tuposquat 技术，未造成其它合法程序包如 colors.js、crypto-js、discord.js、marked 和 noblox.js，是“新手恶意软件作者”所为。

这些程序包是：

  • node-colors-sync（Discord 令牌窃取器）

  • color-self（Discord 令牌窃取器）

  • color-self-2（Discord 令牌窃取器）

  • wafer-text（环境变量窃取器）

  • wafer-countdown（环境变量窃取器）

  • wafer-template（环境变量窃取器）

  • wafer-darla（环境变量窃取器）

  • lemaaa（Discord 令牌窃取器）

  • adv-discord-utility（Discord 令牌窃取器）

  • tools-for-discord（Discord 令牌窃取器）

  • mynewpkg （环境变量窃取器）

  • purple-bitch（Discord 令牌窃取器）

  • purple-bitchs（Discord 令牌窃取器）

  • noblox.js-addons（Discord 令牌窃取器）

  • kakakaakaaa11aa (Connectback shell)

  • markedjs（Python 远程代码注入器）

  • crypto-standarts（Python 远程代码注入器）

  • discord-selfbot-tools（Discord 令牌窃取器）

  • discord.js-aployscript-v11（Discord 令牌窃取器）

  • discord.js-selfbot-aployscript（Discord 令牌窃取器）

  • discord.js-selfbot-aployed（Discord 令牌窃取器）

  • discord.js-discord-selfbot-v4（Discord 令牌窃取器）

  • colors-beta（Discord 令牌窃取器）

  • vera.js（Discord 令牌窃取器）

  • discord-protection（Discord 令牌窃取器）

Discord 令牌已成为威胁行动者获得越权访问账户和密码的具有吸引力的方式，使得操纵人员可利用该访问权限通过 Discrod 渠道宣传恶意连接。

环境变量被存储为键值对，用于将程序环境中的信息存储在开发机器上，包括API访问令牌、认证密钥、API URLs 和账户名称。

两个恶意程序包 markedjs 和 crypto-standarts 以重复木马程序包的角色而更引人注目，它们完全复制了两个为人熟知的库 marked 和 crypto-js 的原始功能，但利用其它恶意代码远程注入任意 Python 代码。

另外一个恶意程序包是 lemaaa，它是“由恶意行动者操纵 Discord 账户所使用的的库”，“当以某种方式被使用时，该库将劫持所分配的机密 Discord 令牌，并且执行所要求的功能”。具体而言，lemaaa使用所提供的Discord 嗅探受害者信用卡信息、通过更改账户密码和邮件接管账户、甚至删除受害者的所有好友。

Vera.js 则采用不同方式执行令牌窃取活动。它并未从本地磁盘存储中检索信息，而是从web 浏览器的本地存储中检索令牌。研究人员指出，“这种技术有助于窃取通过 web 浏览器登录 Discord 网站时生成的令牌，而使用 Discord app 登录则将令牌存储到本地磁盘存储中。”

这段时间，NPM 被滥用于部署一系列payload，包括信息窃取、完全远程访问后门等，开发人员应当检查其程序包依赖，缓解 typosquatting和依赖混淆攻击。

开源卫士试用地址：https://oss.qianxin.com

531e3ac511dcd1969568b8a1c87b1ef9.png

推荐阅读

在线阅读版：《2021中国软件供应链安全分析报告》全文

谷歌宣布 Linux Kernel、Kubernetes 0day 漏洞奖励加倍

Apache Cassandra 开源数据库软件修复高危RCE漏洞

2021年软件供应链攻击数量激增300%+

热门开源CMS平台 Umbraco 中存在多个安全漏洞，可使账户遭接管

详细分析开源软件项目 Ajax.NET Professional 中的RCE 漏洞（CVE-2021-23758）

SAP 严重漏洞可导致供应链攻击

Apache PLC4X开发者向企业下最后通牒：如不提供资助将停止支持

Apache 软件基金会：顶级项目仍使用老旧软件，补丁作用被削弱

美国商务部发布软件物料清单 (SBOM) 的最小元素（上）

美国商务部发布软件物料清单 (SBOM) 的最小元素（中）

美国商务部发布软件物料清单 (SBOM) 的最小元素（下）

NIST 发布关于使用“行政令-关键软件”的安全措施指南

NIST 按行政令关于加强软件供应链安全的要求，给出“关键软件”的定义及所含11类软件

SolarWinds 攻击者再次发动供应链攻击

美国“加强软件供应链安全实践的指南” (SSDF V1.1草案) 解读来了

软件供应链安全现状分析与对策建议

“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用

GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞

流行的 NPM 包依赖关系中存在远程代码执行缺陷

速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年

Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件

微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析

SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制

找到软件供应链的薄弱链条

GitHub谈软件供应链安全及其重要性

揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司

开源软件漏洞安全风险分析

开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析

集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等

限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市

热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码

GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥

因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露

彪马PUMA源代码被盗，称客户数据不受影响

原文链接

https://thehackernews.com/2022/02/25-malicious-javascript-libraries.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

008e5b93d024fa4d4b868f07bd667403.png

c6e7e2a1478f3295dda9955dda293caa.png

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   633850b526dee191080dd25fc735f6a2.gif 觉得不错，就点个 “在看” 或 "赞” 吧~

奇安信代码卫士
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
基于JavaScript的框架漏洞
weixin_68408599的博客
12-09 2684
本文章是基于JavaScript框架的漏洞，相关靶场均在vulhub靶场，此文章只供于学习讨论。
WEB安全扫描问题汇总
CNXBDSa的博客
08-09 2372
严重问题： 1、Tomcat版本过低 Tomcat5~8各个版本尽量使用最新的版本，新版已经修复了已经发现的漏洞。 2、SQL盲注 对于用户输入的参数进行过滤。 3、jQuery跨站脚本 升级jQuery，更换为最新版的jQuery 4、Struts2开发模式 使用Spring MVC等其他框架，或升级Struts2最新版本 5、易受攻击的JavaScript库 更换使用的JS库、或者修改相关的JS。 一般问题： 1、HTML表单没有CSRF保护 传到后台的表单数据都没过滤、没有进行URLEncode等 2
遭了！JavaScript 代码被投毒了
最新发布
IT界那些事儿
06-18 136
不知大家是否还记得两年前 Github 出现的一个名为 Evil.js 的项目，其号称专治 996 公司，实际就是给前端项目“。原型污染是一种很少被关注但潜在风险严重的安全漏洞，它影响基于原型的编程语言，例如 JavaScript。这种漏洞。
记录一个等保二的项目的漏洞处理
热门推荐
05-12 1万+
一、高危漏洞： 1、HTTP.sys remote code execution vulnerability（HTTP.sys 远程代码执行漏洞） 漏洞描述： HTTP 协议栈 (HTTP.sys) 中存在一个远程执行代码漏洞，该漏洞是由于 HTTP.sys 不正确地分析特制 HTTP 请求而导致的。 成功利用此漏洞的攻击者可以在系统帐户的上下文中执行任意代码。 对于 Windows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Wind
JavaScript安全性：XSS、CSRF和CORS等常见的安全漏洞及其解决方案
tyxjolin的专栏
05-08 4182
开发人员应该采取适当的措施来保护他们的应用程序免受这些漏洞的影响，包括过滤和验证用户输入、使用安全的JavaScript库和框架、使用CSRF令牌和配置CORS等。本文将介绍几种常见的JavaScript安全漏洞，包括XSS、CSRF和CORS，并提供解决方案以保护您的应用程序免受这些漏洞的影响。例如，一个攻击者可能会发送一个包含修改用户密码的请求，而这个请求看起来是来自用户自己的浏览器，因此网站可能会对请求进行处理并修改用户密码。由于浏览器的同源策略，一般情况下，跨域请求是不允许的。
分享 7 个和安全相关的 JS 库，让你的应用更安全
前端达人
08-14 465
在JavaScript开发的世界中，安全性是保护应用程序免受潜在威胁和漏洞的至关重要。幸运的是，开源社区贡献了各种强大的安全库，可以加强JavaScript项目的安全性。在本文中，我们将探讨7个必要的JavaScript安全库，这些库都可以在GitHub上找到。1. DOMPurify这是GitHub上星标最多的库之一，拥有超过11k颗星星。这是一个强大的库，提供安全可靠的HTML过滤。它通过过滤...
npm（1） - 一个JavaScript包管理器-javascript
06-21
npm（1） - 一个JavaScript包管理器 npm(1) -- 一个 JavaScript 包管理器 概要 这些信息足以让您启动和运行。 安装后，可以通过 npm help 获得更多信息。 重要您需要 node v6 或更高版本才能运行此程序。 要安装...
引入gitlab仓库代码到npm包的教程.doc
07-11
本教程将通过实例讲解如何创建一个私有的工具包项目，配置 SSH 密钥，提交代码到 GitLab 仓库，并将其引入到 NPM 包中。 知识点一：创建私有工具包项目 在 GitLab 中创建一个私有的工具包项目，例如 utils 包。...
npm1一个JavaScript包管理器
08-11
npm，全称Node Package Manager，是JavaScript开发中的一个重要工具，主要功能是对JavaScript代码进行模块化管理和分发。作为全球最大的开源库生态系统，npm为开发者提供了便捷的方式来安装、共享和复用代码，极大地...
使用verdaccio 搭建npm私有仓库.docx
05-25
使用 Verdaccio 搭建 npm 私有仓库是指使用 Verdaccio 工具来搭建一个私有的 npm 仓库，用于存储和管理公司或个人项目中的 npm 包。下面将详细介绍如何使用 Verdaccio 搭建 npm 私有仓库。 一、安装 Node.js 首先...
npm基于vite制作自己的npm包+ts超详细
07-28
4. **npm**：Node Package Manager（npm）是JavaScript生态中的包管理器，用于管理和分发开源代码库。在本项目中，npm用于安装依赖、发布和安装自定义播放器包。 5. **vue-video-xg**：虽然未在描述中明确提及，但...
burp-retire-js：BurpZAPMaven扩展集成了Retire.js存储库以查找易受攻击的Javascript库
02-03
Retire.js（Burp插件） / 扩展，集成了存储库以查找易受攻击JavaScript库。 它被动地查看加载JavaScript文件，并根据各种签名类型（URL，文件名，文件内容或特定的哈希）识别那些易受攻击的文件。 执照 该软件在下发布。 资料下载 最近更新：2019年12月10日 Burp Suite插件： （也可在） ZAP插件： 打p插件 ZAP插件 Maven插件 使用目标scan运行Maven插件： $ cd myproject $ mvn com.h3xstream.retirejs:retirejs-maven-plugin:scan [...] [INFO] --- retirejs-maven-plugin:1.0.0-SNAPSHOT:scan (default-cli) @ myproject --- [WARNING] jquery.js contains a vulnerable JavaScript library. [INFO] Path: C:\Code\myproject\src\main\webapp\js\jquery.js
影响数千网站的第三方JavaScript库文件漏洞分析
Coisini的博客
06-25 1039
*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担 当前，很多网站都会使用第三方特定JavaScript库的方式来增强网站的显示应用功能，通常情况下，这种嵌入到网站中的库可以方便直接地从第三方服务提供商的域中加载，实现对当前网站的优化和功能增强。然而，这种嵌入到很多网站中的第三方库往往会是一个致命的攻击面，可以导致嵌入网站更容易...
JavaScript 注入攻击
web 前端
05-26 1542
什么是 JavaScript 注入攻击？ 每当接受用户输入的内容并重新显示这些内容时，网站就很容易遭受 JavaScript 注入攻击。让我们研究一个容易遭受 JavaScript 注入攻击的具体应用程序。假设已经创建了一个客户反馈网站。客户可以访问网站并输入对产品的反馈信息。当客户提交反馈时，反馈信息重新显示在反馈页面上。 客户反馈网站是一个简单的网站。不幸的是，此网站容易遭受 Ja
基于JavaScript的框架漏洞_javascript框架库漏洞(2)，网络安全面试题中高级
2401_84254364的博客
04-11 680
Node.js-systeminformation是用于获取各种系统信息的Node.js模块,在存在命令注入漏洞的版本中，攻击者可以通过未过滤的参数中注入payload执行系统命令。攻击者可以通过在未经过滤的参数中注入Payload来执行系统命令，最终获取服务器最高权限。修复：作为替代升级的一种变通方法，一定要检查或清理传递给**si.inetLatency()、si.inetChecksite()、si.services()、si.processLoad()**的服务参数。只允许字符串，拒绝任何数组。
基于JavaScript的框架漏洞_javascript框架库漏洞，2024年最新网络安全面试必问的HashMap
2401_84254364的博客
04-11 943
这个漏洞产生主要是因为jQuery-File-Upload的**.htaccess文件会限制文件的上传和文件的执行，但是Apache的2.3.9版本中，Apache默认不再支持.htaccess了，而且默认是没有被开启的，所以导致攻击者可以任意上传脚本文件并执行。如果使用了另一种web容器的话（比如Nginx），那么基于.htaccess文件的保护则完全无效。**
你认为你的javascript库依赖安全嘛?我告诉你,不安全!往下看你就知道了
qq_43623970的博客
05-07 535
现代的 JavaScript 开发人员都喜欢 npm。GitHub 和 npm registry 是开发人员在查找特定软件包时常去的地方。开源模块为开发人员提供了很多可在项目中重用的功能，帮助他们提高工作效率。可以说，如果不是这些开源软件包，今天的大多数框架都不会以当前的形式存在。 一个成熟的企业级应用程序可能依赖数百个（如果不是数千个）软件包。通常的依赖包括直接依赖、开发依赖、捆绑依赖、生产依赖...
渗透测试 2 --- XSS、CSRF、文件上传、文件包含、反序列化漏洞
墨鱼菜鸡
07-11 3107
1、渗透测试 实用 浏览器插件 chrome、edge 插件：搜索 cookie，安装 cookie editor，打开插件，可以 导出 cookie HackBar ：Hackbar是网络安全学习者常备的工具 (https://www.fujieace.com/hacker/tools/hackbar.html )。 ​解决Firefox插件-H...
安装cypress-captchan插件不在npm的包仓库里，如何安装
04-26
您可以通过以下步骤安装cypress-captchan插件： 1. 首先，您需要将cypress-captchan插件的源代码下载到本地计算机。 2. 解压下载的源代码并打开命令行工具。 3. 在命令行中转到cypress-captchan插件的源代码目录...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值