安全研究员找到了一种方法，在苹果、贝宝和微软的系统上运行代码

安全研究员alexbirsan发现了一个安全漏洞，允许他在苹果、微软、PayPal和其他30多家公司的服务器上运行代码（通过Bleeping计算机）。这个漏洞也非常简单，许多大型软件开发人员必须弄清楚如何保护自己免受攻击。...

安全研究员alexbirsan发现了一个安全漏洞，允许他在苹果、微软、PayPal和其他30多家公司的服务器上运行代码（通过Bleeping计算机）。这个漏洞也非常简单，许多大型软件开发人员必须弄清楚如何保护自己免受攻击。

该漏洞利用了一个相对简单的技巧：用公共包替换私有包。当公司构建程序时，他们经常使用其他人编写的开源代码，因此他们不会花费时间和资源来解决已经解决的问题。例如，我曾在一些网站上工作过，这些网站必须实时将文本文件转换为网页。我的团队没有自己编写代码，而是找到了一个这样做的程序，并将其构建到我们的网站中。

这些公开可用的程序可以在npm for NodeJS、PyPi for Python和RubyGems for Ruby等存储库中找到。值得注意的是，Birsan发现这些存储库可以用来执行此攻击，但它不仅限于这三个存储库。

除了这些公共软件包，公司通常会构建自己的私有软件包，它们不会上传这些软件包，而是在自己的开发人员之间分发。这就是Birsan发现漏洞的地方。他发现，如果他能找到公司使用的私有包的名称（在大多数情况下，这项任务非常简单），他就可以将自己的代码上传到一个同名的公共存储库中，而公司的自动化系统将使用他的代码。他们不仅会下载他的软件包而不是正确的软件包，而且还会在其中运行代码。

用一个例子来解释这个问题，假设你的电脑上有一个单词文档，但是当你打开它时，你的电脑说，“嘿，互联网上还有一个同名的单词文档。我会打开那个，现在想象一下这个单词文档可以自动对你的计算机进行更改。情况不太好。

看来这些公司都认为问题很严重。Birsan在他的中篇文章中写道，“大多数的臭虫奖金都是按照每个项目的政策允许的最高金额来发放的，有时甚至更高。”对于那些不熟悉的人，臭虫奖金是公司向发现严重臭虫的人发放的现金奖励。虫子越严重，他们付的钱就越多。

据Birsan称，他联系的大多数公司都能迅速修补系统，使它们不再易受攻击。微软甚至编写了一份白皮书，解释系统管理员如何保护他们的公司免受此类攻击，但坦率地说，令人惊讶的是，人们花了这么长时间才发现这些大型公司容易受到此类攻击。谢天谢地，这并不是那种以你必须立即更新家中所有设备为结尾的故事，但对于系统管理员来说，这似乎是一个漫长的一周，他们现在必须改变公司使用公共代码的方式。