만료된 도메인을 통해 AUR에 악성 패키지를 도입할 수 있음을 발견했습니다.

그들은 최근 블로그 게시물을 통해 알려졌습니다. 실험 결과 어느 당신이 통제할 수 있는 방법을 보여주십시오 저장소의 패키지 AUR.

AUR(Arch User Repository)을 모르는 사람들은 이것이 Arch Linux용 소프트웨어 저장소. 이것은 공식 Arch Linux 저장소와 다릅니다. 이 저장소에서 패키지는 사용자가 제공하고 Arch Linux는 공식적으로 이를 지원하지 않기 때문입니다.

AUR은 타사 개발자가 사용합니다. 주요 Arch Linux 배포 저장소에 포함되지 않고 패키지를 배포합니다.

이 일에, 지원 부족으로 조사가 진행되었으며, 이는 버그보다 기능에 가깝습니다. AUR이 지원하기 어려운 패키지를 포함할 수 있습니다. (예: 라이선스 문제로 인해) 또는 소수의 사용자만 사용합니다.

그러나 지원이 부족하면 품질 관리가 덜 되어 악의적인 사용자가 악성 패키지를 도입할 수 있습니다. 이 위험을 사용자에게 경고하기 위해 AUR은 첫 페이지에 다음과 같은 엄청난 면책 조항을 가지고 있습니다(많은 사람들이 무시하거나 단순히 인식하지 못하는 범례).

면책 조항: AUR 패키지는 사용자 제작 콘텐츠입니다. 제공된 파일을 사용하는 데 따른 위험은 사용자가 감수해야 합니다.

수행한 실험에 대해, 연구원들은 도메인 등록 만료를 확인하는 스크립트를 준비했습니다 PKGBUILD 및 SRCINFO 파일에 표시됩니다. 이 스크립트를 실행하면 14개의 파일 업로드 패키지에 사용된 20개의 만료된 도메인이 식별되었습니다.

이것으로, 악성 패키지를 도입하는 몇 가지 방법이 있음을 식별할 수 있었습니다. (또는 합법적인 패키지에 대한 악의적인 변경) AUR. 예를 들어, 고아 패키지의 관리자 되기 (즉, 이전 관리자가 더 이상 지원하지 않는 패키지) 또는 인기 있는 패키지 이름을 입력합니다.

또 다른 옵션은 생성 과정에서 만료된 도메인이 있는 URL을 사용하는 패키지를 찾아 도메인을 등록하고 악성 파일을 호스팅하는 것입니다. 이러한 공격에 취약한 패킷은 몇 개입니까? 알아 보자!

언급된다 그 과정은 생각만큼 간단하지 않습니다. 다운로드한 콘텐츠가 AUR에 이미 로드된 체크섬과 비교되기 때문에 패킷을 스푸핑하기에 충분하지 않기 때문에 단순히 도메인을 등록하는 것만으로는 더 이상 충분하지 않습니다. 그러나 AUR에 있는 패키지의 약 35% 유지 관리자는 PKGBUILD 파일의 "SKIP" 매개변수를 사용하여 체크섬 검사를 건너뛰는 것으로 보입니다(예: sha256sums=('SKIP') 지정). 도메인이 만료된 패키지 20개 중 SKIP 매개변수는 4개에서 사용되었습니다.

가능성을 보여주기 위해 공격을 하다, 연구원들은 합계를 확인하지 않는 패키지 중 하나의 도메인을 구입했습니다. 확인하고 코드와 수정된 설치 스크립트가 포함된 파일을 배치했습니다.

불행히도 도메인이 사용 가능한지 확인하는 표준화된 방법은 없습니다. 가장 인기 있는 TLD에 대한 WHOIS 응답에는 사용 가능한 도메인에 대한 "도메인이 일치하지 않음"과 같은 내용이 포함되어 있지만 모든 TLD에 해당되는 것은 아닙니다. 좋은 첫 번째 단계는 DNS 레코드 세트가 있는 모든 도메인을 필터링하는 것입니다. 해당 도메인은 여전히 ​​사용 중일 가능성이 높기 때문입니다. 많은 DNS 요청을 빠르게 만들기 위해 blechschmidt/massdns 를 사용합니다. 이것은 수천 개의 도메인을 몇 초 만에 해결할 수 있는 훌륭한 도구입니다.

실제 내용 대신 타사 코드 실행에 대한 경고가 스크립트에 추가되었습니다. 패키지를 설치하려는 시도는 스푸핑된 파일의 다운로드로 이어졌고 체크섬이 확인되지 않았기 때문에 실험자가 추가한 코드의 성공적인 설치 및 실행으로 이어졌습니다.

최종적으로 AUR 패킷 하이재킹은 새로운 개념이 아니라고 언급, AUR 패킷 하이재킹은 항상 (여러 가지 방법으로) 가능했으며 알려진 위험입니다.

낮잠 그것에 대해 더 알고 싶어, 당신은 세부 사항을 확인할 수 있습니다 다음 링크에서.