Breaking the Chain: Advanced Offensive Strategies in the Software Supply Chain | BBV, DEF CON 33

軟體供應鏈已成為現代軟體開發最隱蔽的致命盲點。供應鏈涵蓋源代碼層（依賴檔案與上游repos）、構建層（CI/CD管線）、分發層（部署與registry）三個環節，任何一環被破壞都能導致數千家下游公司同時淪陷。根據2023年的數據，軟體供應鏈攻擊增長了156%，全球59%的企業經歷過此類攻擊，平均應對時間長達一個月，造成的經濟損失達410億美元，預計到2026年將超過800億美元。這不再是明日之患，而是昨日之患、今日之患、明日之患的三重疊加。

在源代碼層，最優雅的攻擊是依賴混淆。它利用包管理器在解析公私包名時的邏輯漏洞。講者以Consul為例，該服務網路框架擁有28,000多個GitHub星，被廣泛用於業界。攻擊者發現Consul在定義開發依賴時使用了通配符，但這些依賴本應來自workspace（本地檔案系統），卻可被PNPM誤導從公開registry抓取。Friday night，講者在NPM public registry上佔據了相應的包名作為proof of concept，不到一小時就有Fortune 500公司的開發者下載了惡意包——該開發者正好使用了舊版NPM，不識別workspace概念，自動降級為從公開registry抓取。最終獲得17,000美元的Bug Bounty。更有趣的是NPX混淆，它利用二進位名稱與包名不必然相同的特性。當開發者執行 `npx package-name` 而該包不存在時，npx會臨時從registry安裝並執行其bin定義的二進位。攻擊者可猜測並佔據這些不匹配的二進位名稱獲得遠程代碼執行，最高曾獲30,000美元賞金，影響範圍達4,500家企業，特別是加密貨幣領域。

繞過安全掃描器是這項研究最核心的技術難點。傳統掃描採靜態分析或沙箱動態執行，但講者與合作者開發了一套縝密的躲避方案。關鍵洞察是：不讓掃描器看到真正的惡意payload。他們建立了自有的HTTP registry，每次掃描器抓取包時都會被識別（透過IP段、ASN、user-agent、request pattern），然後透過deny list機制選擇性投放payload——只有合法開發者才能下載真正的惡意包，掃描器永遠看不到。這套系統用了一年半時間累積了數百條規則來識別中文、俄文、各類SaaS掃描商的特徵。結果是惡意包能在NPM生態存活超過一年而不被ban。更意想不到的是，某些企業的artifactory會在registry table交互時洩露管理員token，給了講者讀寫整個企業artifactory的權限，從而獲得遠程代碼執行。

構建層的Poison Pipeline Execution威脅更為致命且獲利豐厚。GitHub Actions的 `pull_request_target` trigger設計允許簽出fork中的未審查程式碼，結合package.json的 `pre-install` gadget，任何人都能透過一個pull request獲得RCE。但要竊取secrets（如NPM token用於發布）需要權限提升，這時cache poisoning發揮了關鍵作用。GitHub Actions的cache以tar ball形式儲存，提取時預設允許path traversal，攻擊者可在第一個workflow中注入精心設計的cache內容，當第二個發布workflow消費該cache時，tar的path traversal特性允許攻擊者覆寫任意檔案。CrossFetch就是這樣被完全背門的——一個被3,600萬次/周下載的關鍵套件，講者透過fork、修改package.json、污染cache、等待release、竊取token、發布惡意版本的五步攻擊鏈完全控制了它。由於CrossFetch被多個下游企業依賴，講者從3家受害企業共獲13,000美元的Bug Bounty。

更深層的威脅來自供應鏈的系統級漏洞。講者示範了如何利用Git short SHA衝突觸發404誤導開發者或AI agent下載替代包，以及Google CloudBuild中的競賽條件——maintainer的comment approval與attacker的commit push之間存在約1秒的時間窗口，使用簡單的Python輪詢腳本即可繞過整個approval機制。最有趣的是AI agent的新型攻擊向量——當error message中含有精心構造的「系統prompt」時，某些AI agent會誤以為這是合法指令，主動修改依賴配置下載攻擊者的套件。這預示著一個新的威脅範式。