以“防方视角”观供应安全

01 案例概述

本文详述了某师傅如何通过供应链攻击和资产收集，成功找出并利用技术支持单位的弱口令和系统漏洞，获得了系统权限和源代码。他进一步利用系统的未授权密码重置漏洞和Shiro反序列化漏洞，扩大了攻击范围，获取了多个系统管理员权限。最后，通过JIRA应用和git仓库，他成功获取了目标单位的所有源码以及多个数据库和云主机的配置信息。

记一次精准的供应链打击【原文链接】

02 攻击路径

从攻击者视角了解攻击的全过程，以下为攻击过程：

(1)明确开发单位：攻击者利用供应链攻击思路，通过hunter工具搜集目标单位信息发现技术支持单位信息，进而转向攻击开发单位，尝试对互联网上同一套应用系统进行漏洞挖掘，进而实现对目标单位系统的权限获取。

(2)利用通用漏洞：攻击者通过管理员弱口令登录到相同框架系统后发现无鉴权信息也能使用系统接口，结合用户管理模块发现系统存在通用的未授权任意密码重置漏洞，于是对目标单位系统进行通用漏洞利用进而获取管理员权限。

(3)利用管控缺陷：攻击者在目标单位外网系统页面发现另一合作开发单位信息，信息收集后以弱口令登录JIRA应用找到相关项目。进而获取数据库、云服务器权限，发现git服务器成功获取该合作单位所有源码，对目标单位相关系统进行代码审计后可进一步获取目标单位权限。

03 防方思路

站在防守单位的角度需吸取本案例的经验教训：

(1)加强供应链管理：在与供应商签订合同时，明确规定供应商必须遵守的安全标准和实践，以及定期提供安全合规报告。包括安全事件响应条款等，确保在发生安全事件时供应商能够迅速有效地响应。

(2)强化密码管理：强化账户管理，避免使用弱口令，如“admin”或12345等。强制使用复杂密码，包括字母、数字和特殊字符的组合，并定期更换密码。实施多因素认证（MFA），增加额外的安全层来保护账户。

(3)完善鉴权机制：确保所有系统和接口都经过严格的身份验证，避免未经授权的访问。定期审查和更新用户权限，确保只有必要的人员拥有访问权限，并及时移除不再需要访问的权限。