程序员，今天你被“投毒”了么？

本节目由津津乐道制作播出，

是是的农民工。

各位听友大家好，

这里是一期科技乱炖和编码人生并机播出的节目。

哎，

为什么并机播出呢？

因为我觉得这期的节目跟程序员的关系比较大哈，

我们就应编码人生的制作团队的邀请，

说不行，

你们一块录吧，

这个对吧？

这个艰巨而光荣的任务交给了我我们。

所以这期呢跟大家聊聊，

最近可能哎这期节目如果不是程序员是不是听不懂啊？

不会的不会的，

你以我们的水平居然也听不懂。

嗨，

上期有人批评咱了啊，

我跟老高录那期 iphone 开箱说不专业，

你们录的一点都不专业啊。

这集我看那个评论了啊，

我都想吐槽，

因为那集我没在啊，

他们把我踢出群聊，

但是我都想吐槽啊，

开头说了我们这一集是吐槽。

嗯，

番外就恨不得说我们就是随便聊，

你们就随便听。

哎，

其实大概就是这么个意思，

就是过年期间大家待着没事干录期节目呗，

哎，

几个中年老男人对吧？

抒发一下情绪。

哎，

他不是为了讲知识，

你看老高跟朱峰费劲巴力的，

好不容易到手两台手机。

对呀，

多不容易抢到手的。

来吐吐槽，

我们也情绪要发泄一下，

哎，

防止别人你再踩这个坑，

这很重要。

但是今天这个坑啊有点更深啊。

刚才毛哥老师说了，

程序员可能也听不懂，

那怎么办？

这前路路吧别说了，

咱先说一下背景知识。

哎，

先说一下这个前情提要啊，

就是最近呢我们在网上看到了一个被疯传的一个其实不是帖子，

现在已经进了这个安全报告了，

进了 cve 了，

就是 lnmp 这个一键安装包的供应链投毒的这个时间就是我们一般程序员开发软件啊，

尤其互联网程序员开发软件，

它通常都会用几个东西组合起来吧。

就是外部服务器操作系统数据库啊，

这几个东西它组合起来呢，

一般就叫 lnmpl 是什么呢？

就是操作系统 liningcasen 呢就是 linens，就是它那个外部服务器。

p 呢一般就是 prpm 呢就是 mysql。

就这几个东西组合起来，

你就可以做互联网的开发了。

呃，

很多的程序员呢就会什么呢？

他图省事嘛，

就是我自己装有点麻烦懒人包。

唉，

网上呢就有这种懒人包。

今天我们提到这个新闻焦点就是这个懒人包，

这就叫 lnmp 的这个一键安装包。

对，

今天我们聊的这事儿我还突然有点疑问，

就是我都不知道原来在我们这个脑海里啊，

在至少在我的脑海里啊，lnmp 是个技术站啊。

对，

就是刚才咱说的这这几个东西组合起来的一个开发的平台。

在这个之前呢有 lamp，就是 lamp，那个 a 是阿帕奇。

对，

就是作为 webserver 呢，

后来我们都读读做 engines，其实人家叫 enginex 对啊，

这个玩意儿呢是现在是流行的这个 webserver 的服务器，

所以俄罗斯的老哥开发的对，

所以 lamp 呢就变成了 lnmp。

但是从我过去的经验来讲，

这是个技术站，

就是说哎我们的技术服务端的技术组合是这四样组件。

哎，

但是今今天发现哎，

怎么还有一个 lrsmp 点 org 的网站，

还有个懒人包，

这个就有点儿这个早就有禅道，

他们也做了一个。

当然他可能会说我有一个干净版，

还有一个里边整合禅道的啊。

ok 就适合说有人想去做个测试啊，

也可能他方便他自己的系统去部署。

其实很多的公司都有这种，

就是为了方便你的，

甚至说你现在 docker 的这个镜像，

嗯，

呃过去很多公司自己用，

你要是单装，

甚至像珠峰这种变态的自己变异啊，

你可能会有很多东西不一样。

对，

就是它尤其是你的这个操作系统环境不一样啊，

比如说有版本多和那个渗 oos 就差很多版本不一样，

你就就依赖都能把你弄死。

哎，

当然了，

这话又说远了，

为了解决这个问题，

又有更聪明的程序员发明了 docker。

对对吧？

这个这个都是懒人包的一种，

对吧？

哎，

对对对，

呃，

所以这个东西呢其实就是提供了一个一键安装包，

就把这整个的运行环境打包啊装上就就能用了，

你也不用管别的，

对吧？

你也不用管怎么装上的，

或者而是这你用了什么版本的，

不用我，

我反正都给你解决了，

就是这么一个东西。

这个东西呢其实在开发者群体里面的普及率还挺高的，

因为毕竟它省事嘛，

而且甚至说这一个公司的人可能你都会用这样一个包，

但环境也一致。

那我不需要写一个文档，

告诉你这个需要哪个版本，

那个需要版本，

它这些依赖反正都给你装好了。

你就在这个环境下，

大家都在这个环境下开发完了更更甚甚者生产环境也是用他装的，

不是做程序员的或者做运维的同学啊，

你们就这么理解，

它就是相当于雨林木风版的 windows，特别像帮你搞定很多事儿。

对，

而且一下就装上，

也不用走那个安装过程了啊，

然后里边这里边哎好多常软件都有了。

哎，

对，

类似于这种它它也可以帮你做一些精简，

把一些常用的东西给你踢掉系统里的不常见选项，

也就帮你先进，

美其名曰能够提高速度。

但是里边有啥呢？

哎，

咱就不知道了，

那话怎么说来了，

就是看人品的时候，

就是你看的就会偷偷往里装一些乱七八糟的东西。

这个时候呢，

我们就有这个安全工作者就发现了在某一时刻某一个时期之后的这个安装包的版本里，

被植入了恶意的代码。

这个恶意代码是一个二进制程序，

不是一个脚本儿啊，

或者你能看原代码的，

它是一个二进制程序。

所以大家也不知道它这个二进制程序具体干了什么。

但是明确的知道这个东西装上之后，

它会自启动，

它会在后台起一个服务，

然后这个服务跟外部建立了一个隧道连接。

就是你可以把任何东西发出去，

但是具体什么情况去发，

会发什么，

大家并不知道。

但是一套操作下来就构建了一个它可以随时往外发任何东西的可能性，

对不对？

它这个功能之外又增加了一些你不知用途的东西。

对，

因为它是个二进制，

反正你也看不见是什么东西。

人家懒人包里边的东西应该大多数都是二进制的给好的，

甚至说他要实现更复杂的功能等等的。

他不可能都拿脚本写这个事儿就太难了。

而而且它里边可能肯定也不止一个程序混在里头，

不是自然容易发现。

就是对，

尤其你要像 docker 上面一堆文件，

可能几十万个，

那你不能挨个都看一遍吧。

嗯，

然后呢发现这个事情这是一个国内的网站啊，

这 lip 点 org 啊，

这个国内网背景是一个公司是吗？

哎，

那然后网友就去查这件事情吧，

到底在什么时刻发生了这件事情。

然后大家就发现了，

这个公司在前段时间被某个注册在浙江金华的公司收购了。

而这个公司名下的域名曾经做过的网站也可以被拔出来。

然后我们会通过这些蛛丝马迹，

发现这个公司是做黑灰产的。

嗯，

咱别说说黑会，

就是第一份攻击，

对他不是被别人搞了，

就是自己。

他就他想搞，

你就是应该是这个金华的这个公司把这个网站收购了。

嗯，

因为他也是个人网站嘛，

因为肯定背后也没有什么工作，

唉，

我给您收了，

对吧？

我花点钱，

然后他在在这上面加点料，

哎，

加点料去干这些事情是这么一个过程吧，

不好的味道就又来了，

是吧？

不好的味道又来了，

而且呢更不好的是什么呢？

紧接着另外一个一键安装包叫 oneinstack。

那个应该是做渣环境的一件安装包的啊，

这个是另外一个也被发现投毒了，

而且这个网站也是被这个同一个公司收到了。

这个干坏事人总想把这个规模干大了，

然后就被人发现了，

是吧？

干坏事的人都需要注册公司吗？

不是因为要开发票啊。

嗨回产吗？

那不是黑产回产，

对吧？

有的时候这个事你你就很难说。

但是呢从哪里我们又发现了进一步的蛛丝马迹呢？

是这个 oneinstack 的这个创始人应该是在 vtwoex 上去做了一个回应。

怎么回应的呢？

说这个金华的公司啊，

收购的这几个安装包和面板的这个厂商呢，

他们是类似于宝塔的产品，

像依赖。

再这样一下安装包呢打开知名度。

这个公司呢作为项目的投资商，

然后呢协商为这样一个产品提供开发资金，

并提供所有的服务器资源。

但是项目的管理权限及运维权限都还在创始人自己的手里，

就是发帖子的这个人的自己的手里。

目前各位开发者的经历主要是进行新的开发。

对于出现本次挂码事故，

它叫挂码事故。

注意啊，

挂码事故主要原因在于我们对项目没有进行及时有效的管理，

后续会加强安全管理，

杜绝该问题的出现。

你看他说的这个东西，

你们有没有发现前后矛盾，

他说不是我干的。

第一，

这个东西还是在我控制之下的。

第二，

这件事情不是我干的，

但是既然在你的控制之下，

那是谁干的呢？

他的意思就是说这件事儿只有我能干，

嗯，

但是不是我干的对，

就完了就结束了。

所以有网友也在下面回复啊，

说能做到这样挂码的只有一类人，

那就是对这个 oneinstack 域名的 dns 和主站有管理权限的人，

不然你改不了啊，

这个东西对吧？

既然自称手里还有权限，

他们挂码的也只有这个开发者本人啊，

没有第三人能干成这样。

而且这根本就不是服务器的漏洞的。

问题是服务器漏洞可能能给你改个东西，

能改一个的，

他不能把整个系统给你改了呀，

连所有权都改了，

公司所有权都改了，

这不可能嘛。

所以网友们说的比较狠啊，

这个会不会是一个光明正大的违法犯罪？

而且这里还有一个细节特别有意思，

出了这个事情之后，whyinstack 点 com 的这个域名在海外解析不了了，

就是在海外不能访问，

在海外不能访问，

只有咱们在国内访问，

有 dns 的这个解析能力的人能干，

那一定是有 s 这个所谓的这个所有方嘛。

哎对他这个就有点儿欲盖弥彰了哈。

当然了，

我们没有证据，

也不能这么讲。

嗯，

这个呢有几个点啊，

比如说挂码这个事儿这个事儿非常的有趣，

我们可以这么理解啊，

就是挂马。

比如说他的服务器上被人植入了木马。

哎，

通常来说呢，

这个木马的这个所有方会从他的服务器去偷一些数据偷信息。

对，

我们大家都知道，

对吧？

但是呢他的木马是挂到你的服务器上，

同时还能在你的产品里再植入一个木马，

这个其实难度就会非常大。

那除非挂你脑子里了，

对吧？

之前好像有的那个开源的那上面也有过这类似的事儿，

就是他也是把他那个产品里边给他搞了一些类似的东西，

嗯，

对吧？

但是可能大家觉得这个确实不是人家这所有者方的问题，

确实是被人黑了。

我们遇到过这个情况是怎么干的呢？

嗯，

是把编译的服务器入侵了啊，

就是在你的编译环境的时候就出事了。

对，

在你编译环境里，

在之前也出过呀，

我整理一下之前出的案例啊，

还蛮多的，

挺多的啊，

截止到昨天还有对整理一堆。

但是说这件事情之前呢，

就必须让某个老师搞安全的来解释一下，

我们都管这次事件叫一个严重的供应链投毒攻击事件。

那某个老师讲讲吧，

对吧？

那给大家讲讲什么叫供应链攻击？

供应链攻击啊，

就是呃我们这个这里边讲的其实软件的供应链攻击，

唉，

就是大家可以类比。

比如说我们要生产一个东西，

你要生产一瓶可乐吧。

嗯，

你不是这个厂，

从瓶子到瓶盖到商标都是你自己做的。

因为大家其实很多都是供应链里边采购的都是供应商。

然后供应商呢还有供应商，

嗯嗯，

比如说你采购的水，

这水肯定不是你自己打的井。

对，

那别人打的井嗯，

那可能这个给你供应水的人并不是打井的人，

只是一个净搬送水的人，

送水的就是个搬运工，

什么大自然的搬运工。

对，

所以这里边一定任何一个产业，

现在都有嵌套着 n 层供应链。

嗯，

那软件也不例外。

怎么讲呢？

就是比如说互联网的应用吧，

它后边的不管是服务器端还是客户端里边，

一定会有各种各样的第三方的库嗯或者组件。

这些第三方库和组件呢有大量的是开源的，

嗯，

也有可能是闭源的。

比如说他买的，

比如说我们知道有很多手机 app 他会买一些推送消息的服务啊，sdk 啊等等啊，

出广告的 sdk 啊，

这些东西都是第三方的那这些这些买的厂商里边他也会用开源的组件，

就是他可以套圈一层一层的摞。

但是可能你引用的十层之前的那个东西有一个漏洞，

嗯，

其实这个漏洞就带进来了，

带进到你这个系统里。

只不过这个漏洞可能隐藏的非常深。

在当下吧，

没有人知道怎么利用它，

可能别人知道怎么利用那漏洞，

但是不知道那个漏洞在你的软件里的什么地方。

嗯，

所以暂时在你这是没有爆发的，

有一种我们叫漏洞利用。

嗯，

就是老高说的这个劳格佛系这种，

对吧？

它大量的安装量，

然后突然出了一个零配对或者是不是零备，

但是来不及修。

最近出了这里，

必须提供我们程序员朋友一个消息，

你的软件系统里一定引用了 cul 这个库。

嗯，

它出了一个大漏洞，

赶紧修去，

赶紧升级一下，

赶紧修修。

这是昨天出的事儿啊。

哎，

这种就是占有这种特别大的库，

然后呢出事了，

然后被利用了。

这种是攻击事件或者叫漏洞利用时间，

对吧？

但我自己觉得这也算是利用供应链来去攻击了，

它是在供应链环节出问题了。

但是什么是叫特定的供应链投毒攻击？

它是这样子的，

就是接着某个老师刚才说的那个事儿啊。

比如说我做一锅粥，

我需要供米的，

我需要供水的，

又需要供糖的这些供应商。

这个时候如果你是一个负责任厂商，

你一定不会去大街上随便舀一勺水扔到锅里去做这锅汤。

你一定是找信任的供应商来供这些货，

这是供应链的问题，

对吧？

如果我们放在制造也是供应链问题，

而你对供应商一定是有一个基本的信任。

你不可能每勺水我都尝一口，

它一定会有某些准入的机制。

比如说放在软件领域，

我就相信我本机装的这个编译器没有问题，

那才会产生下一步的工作的前提。

不然的话，

我连编译环境都不可信，

那我怎么会继续往下做呢？

对，

周峰讲这个点呢，

其实是说如果讲供应链投毒可能会更贴切一点。

哎，

其实是这个投毒。

对，

就是供应链投毒之所以它很有效，

它其实是一种信任关系的传递。

嗯，

就是说我是一个下游厂商，

我用很多上游的供应商的代码。

嗯，

不管是开源的也好，

闭源的也好，

我首先对这些是有一定的筛选的。

嗯，

我对他们的信任程度甚至高过了我自己的程序员，

这是有有这个可能。

对，

因为这些大厂有有可能是 google。

对，

有可能是阿帕基基金会有可能是什么的。

比如苹果对我用苹果的一个东西，

我就觉得特放心。

嗯，

虽然我不知道它里边写了啥，

对啊，

但是呢这个时候苹果里边儿有不靠谱的，

或者它也这样引用它一层一层的。

其实我相信了苹果意味着我相信苹果的所有供应商。

对，

但不一定苹果的供应商里边的供应商隔了几层之后，

对，

就没那么严格了。

有可能在某一个地方可以被人投了个毒，

就一下传递到我这来了。

那这个所谓的供应链攻击和漏洞利润，

我觉的最大的差异点就是在于他是不是故意投毒毒。

你说是投毒这种事，

我我就是这种是你是在外额外放了点东西，

对对吧？

而不是说你这边发现漏洞加加料了。

对，

但我觉得就是说这个可能说特定和不特定的目标也是有区别的对，

对吧？

你比如说我去搞了，

比如你说这个 lnm 一个 rg 的这个网站，

我说把把它给加了吗？

那其实我不知道我会攻击到谁，

但我知道他现在用户对我能够偷在在台上偷到的东西对我都有用。

嗯，

那这就是这个范。

对对，

还有一类来说，

比如说我就想黑，

假设说马高老师在的公司的东西的时候，

那这个就是一个定向的攻击，

那就是 apt 了。

对，

这个那个是另外一个这个事呢，

我觉得得有时候可能确实有时候你不太好去区分说什么哪个是漏洞，

利用哪个是这个供应链的攻击，

或者叫投毒吧。

对对吧？

但是今天呢主要讲的还是供应链投毒，

特指啊这一窄溜的这些。

因为一次他们 lamp 是在投毒，

对，

这种肯定是算投毒了，

就额外加料了嘛。

对我给大大家讲几个投毒事件啊，

咱从二零一五年开始说家里有老的，

也就是打听一下啊，

往前翻个七八年吧，

对吧？

那一年出了一个特别大的事儿，

是这个病毒呢就是它已经有命名了，

它就像一个病毒，

应该是有命名的，

叫 xcode。

ghost 事件 xcode 大家都知知道，

就是苹果的 ios 或者是麦克应用的这个开发的工具 id 这是苹果专属的，

我要从苹果的开发者网站下载，

然后安装，

然后用这是一个专属的封闭的系统，

里面的东西看上去不会有问题啊。

就像刚才你说的苹果生态谁不信啊，

嗯对吧？

我就没问题，

我到是哪还开发变衣，

但是对不起，

在中国这个网站访问比较困难，

咋办？

我们的程序员为了不被没收收入，

然后呢都去第三方网站下，

而在第三方分发的就有人恶意的在里头加料。

那加料料好像已经影响了很多大厂，

然后受感染的 app 的数量是一千零七十八款，

包括了我们耳熟能详的很多大厂呀，

对他也是放了一个后门，

他把数据发出来了。

我觉得这事儿之后可能大厂就会更加严格的要求内部的这种镜像啊的这种下载的方式，

或者内部或者会有一个镜像服务器。

对对吧？

从这上面都是检查过的，

或者都保证是从原厂下回来了，

会要求大家不要去乱七八糟的地方去东西。

因为一五年的时候，

移动互联网刚起来，

大家对这些东西还没有特别好的防范。

这么干的事儿。

刚起来就是大家还不警惕这件事情，

原来是小规模说。

那个时候吧，

现在我们很多大厂，

比如说开发的 app 编译，

还是在程序员自己机器人变。

对，

会有这种问题。

因为苹果本身对这种商业环境支持的就不是很好。

对你想弄个编译集群，

他还不至于他干不了。

对，

这个是苹果的果。

比如说你做个大项目，

那它就应该有一个所谓的编译服务器。

嗯，

就跟我们一样，

我们现在比如说那个文件就其实就不在每个人身上编了，

因为一编可能就得十分钟，

那就又像一个人十分钟干不了活。

那我放在一个专门的机场页，

而而且可以配合更好的硬件，

让他当初去编译，

就省了我的时间，

提高我的效率了嘛。

我们做那个 iosapp 的，

就还是在他电脑上编译。

我们只能跟他讲说你这个上面要小心点，

对吧？

不要出来了。

虽然你的 app 的用户很少，

但是你也不想出事，

对吧？

对，

所以这件事给。

给我们提供了一个攻击思路。

嗯，

首先是攻击这个生产环境，

这不是环境的用的东西，

而是编译环境。

对其次呢，

你们不要直接去攻击这些什么原厂，

你们攻击 cdn 就行了。

对，

其实都不用搞什么镜像，

对吧？

嗯，

对，

那个你在苹果下载，

你不也得走 cdn 吗？

那 cdn 缓存，

你把它边缘缓存全给它换了，

我延展一下啊，

最近是出现了这样的攻击思路，

有很多上游的开发者，

就是这些库的开发者和模块组件的开发者。

很多人会依赖他他等于是供应链的上游嘛。

嗯，

这些上游开发者他通常会把这些库啊等等提供一些下载地址。

有的好一点的比较完善的库，

他可能会放在 npm 啊等等这些包管理器。

对，

有的呢可能就是在自己的官网上提供一个下载，

也有这么干的对。

但是下载的时候，

他为了加速，

他就买了 cdd 的服务，

但是为了省钱就买了小厂商的 cdn 服务。

你知道 cdn 服务厂商是一个非常薄弱的安全环节。

是因为如果你要提供 https 的下载，

你必须把你网站的 ssl 的私钥给到对方，

对吧？

这个私钥一旦丢了，

就又成了漏洞了，

就可以被人投毒了，

就可以被人投毒了。

我前几天好像又看到有人在安全会议上讲，

对 dns 做干扰，

哎，

有对对吧？

就是他可以干扰你 ddn 比。

比如说哎你这个返回的这个地址，

因为你访问域名嘛都得返回一个 ip 地址，

对不对？

好，

他把这 ip 地址可能通过什么方式把你改了，

可以引导到他的服务器上来给你提供下来。

对，

那这种情况下呢，

其实也可以做投毒啊，

现在 dns 攻击啊，

再加上 cdm 这两招结合在一起，

你基本没有办法分辨是不是真的了，

因为你私钥都交出去了。

对，

然后这是一种啊嗯，

另外一种就是告告诉你这是假的。

嗯，

比如说支持双开的微信啊啊，

支持中文版的 telegram 啊，

无广告版的微博呀。

哎我就告诉你我这是第三方的，

嗯，

但是我就让你方便啊。

嗯你知道里头是啥？

对，

反正是你主动下的啊。