GitHub 上 15,000 个 Go 模块仓库容易遭受 Repojacking 攻击

2021年9月22日，在上海市青浦区某快递物流公司担任仓库管理员的石沐阳与其好友朱松盼(另案处理)里应外合，石沐阳利用职务便利将公司系统内公民个人信息扫描后出售给朱松盼，短短7个月，两人交易公民信息5000余条，石沐阳获利27000余元。经上海市青浦区人民检察院提起公诉并提起刑事附带民事公益诉讼，近日，法院判处被告人石沐阳有期徒刑并公开道歉。

网络安全研究人员在 Python 包索引（PyPI）仓库中识别出116个恶意软件包，旨在通过定制后门程序感染 Windows 和 Linux 系统。

本文分享自天翼云开发者社区《创建本地yum仓库》，作者: zzzzgj； 背景有的部署环境不通外网，但希望继续使用yum命令下载依赖包而不修改部署脚本逻辑。因此记录一个本地repo的建立方法。CentOS wiki提供了一个如何做到这一点。

harbor2.5版本开始支持cosign做镜像签名，本周实践了一下， ubuntu20.04.4，安装docker，sudo apt install docker.io， sudo systemctl enable docker， sudo gpasswd -a ubuntu docker， newgrp docker， 安装docker-compose，sudo apt instal

虚机ubuntu20.04， 安装docker， sudo apt install docker.io， sudo systemctl enable docker， sudo gpasswd -a ubuntu docker， newgrp docker， 安装docker-compose， sudo apt install docker-compose， 给harbor起个本地域

STATEMENT声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。npm publish 用于发布这个包。

今天，腾讯洋葱入侵检测系统发现开源软件沙箱主机出现异常行为，跟进发现npm官方仓库的coa、rc被投毒攻击，已经在腾讯软件源紧急拦截相关版本。目前npm官方仓库已将相应版本的恶意包删除，但由于国内开源镜像站均同步npm官方仓库且存在缓存，所以恶意包还可能通过各个开源镜像站影响广大用户。 腾讯安全应急响应中心（TSRC）秉承共建安全生态的原则，在此建议大家自查处理，确保安全风险得到消除。

新研究发现 GitHub 上超过 15,000 个 Go 模块存储库容易受到名为 repojacking 的攻击。Repojacking是“存储库”和“劫持”的组合，是一种攻击技术，允许不良行为者利用帐户用户名更改和删除来创建具有相同名称和预先存在的用户名的存储库来上演开源软件供应链攻击。

一个内网安全攻防的知识仓库

源代码安全一直是网络信息安全中至关重要的一环；对于一个网络系统来说，源代码就是其生命的化身，无论是前期的研发还是后期的运营，源代码安全对于任何一个组织机构而言都有着举足轻重的意义。 2022年2月24日，俄罗斯针对乌克兰开展了特别军事行动，在物理战场之外，是以俄乌为主的多方势力在网络空间这个看不见硝烟的第二战场上的激烈较量。下文将主要讲述：1.在俄乌战争期间，我们发现的境外黑客组织攻击源代码仓库