Alb4don/UnauthenticatedBinaryDownloadSupply-Chain-RCE
GitHub: Alb4don/UnauthenticatedBinaryDownloadSupply-Chain-RCE
揭示并验证利用未签名、无完整性校验的 npm 包进行供应链投毒与无提示 RCE 的攻击路径。
Stars: 0 | Forks: 0
- 攻击者 fork、构建恶意的 WinKeyServer.exe，创建一个包含 test-win32-x64.tar.gz 的新版本 v1.1.2，并诱骗受害者安装该 fork 版本或破坏原始仓库。任何 `npm install`（CI、开发者机器、Electron 应用等）都会静默下载并执行木马；无用户提示，下载步骤也不会触发杀毒软件。
- 编译说明（在 Windows 10 上）：
csc.exe /target:exe /out:WinKeyServer.exe WinKeyServer.cs
- 在用户配置文件中写入 PWNED_BY_TEST.txt
- 启动 calc.exe
- 库保持进程活跃且无错误继续运行
- 以安装该库的用户身份打开 PowerShell。
- 进入包目录：
cd node_modules\test
- 备份原始二进制文件：
- Move-Item runtime\WinKeyServer.exe runtime\WinKeyServer.exe.bak
- 将恶意的 WinKeyServer.exe 复制到 runtime\
- 运行 CLI（或任何使用该库的应用）：
npx test
（或 node -e "require('').GlobalKeyboardListener"）
- 预期成功指示输出：
- calc.exe 立即启动
- 文件 %USERPROFILE%\PWNED_BY_TEST.txt 出现，内容包含 “EXPLOITED by test supply-chain attack”。
- 控制台无错误，库认为一切正常。
标签：AI合规, calc.exe, CI, CLI测试, csc.exe, Electron应用, GNU通用公共许可证, IPv6, MITM代理, Node.js, node_modules, npm install, Npx, postinstall脚本, PowerShell, PWNED_BY_TEST.txt, Windows 10, WinKeyServer, 下载执行, 云资产清单, 任意代码执行, 供应链攻击, 备份原二进制, 恶意发布, 攻击者分叉, 无完整性哈希, 无校验, 无用户提示, 无签名, 无错误, 无防病毒触发, 构建恶意二进制, 桌面软件, 测试利用, 漏洞POC, 版本伪造, 用户配置文件, 社会工程, 编译, 运行时替换, 进程保持, 逆向工程, 静默下载