在线编程 IDE = 远程网络攻击？-低调大师

在线编程 IDE = 远程网络攻击？

2022-07-10 527

OSCS(开源软件供应链安全社区)推出免费的漏洞、投毒情报订阅服务，社区用户可通过机器人订阅情报信息：https://www.oscs1024.com/?src=wx

背景概述

黑客通常使用受感染的机器而不是直接从个人拥有的设备发起攻击，这使他们能够隐藏其来源。

在最近的事件响应中，Profero 的事件响应团队调查了一种可能的情况，假设威胁参与者使用 Datacamp 的在线 IDE 对云基础设施发起攻击。

但是，因为 Datacamp、ISP 和在线 IDE 之间错综复杂的关系，使得 Profero 的事件响应团队对使用云 IDE 隐藏攻击来源的想法很感兴趣，并启动了一个研究项目来探索这一策略。

在线IDE是什么

在线IDE，也叫Cloud IDE，主要基于HTML5相关技术构建，通常在浏览器里即可完成传统IDE的大部分开发工作。不幸的是，许多用户和组织没有正确配置他们的资源和云环境，导致恶意攻击者发现并利用此错误配置，发起攻击行为。

DataCamp是一个国外的在线学习平台，DataCamp projects 使用了Jupyter Notebook，Jupyter 是一个开源 Web 应用程序，其在 Github 上的 star 为13.6k，是一个允许用户创建和共享文本的文档。

Profero 的 Omri Segev Moyal 表示，恶意攻击者可以滥用在线编程学习平台来发起远程网络攻击、窃取数据并扫描易受攻击的设备。DataCamp 允许攻击者编译恶意工具、托管或分发恶意软件，并连接到外部服务。

在 DataCamp 平台的个人工作区，有一个用于练习和执行自定义代码、上传文件和连接到数据库的 IDE。

此 IDE 允许用户导入 Python 库、下载和编译存储库，然后执行编译的程序。换句话说，任何一个威胁参与者都可能直接从 DataCamp 平台内发起远程攻击。

（DataCamp Python 编译器中的端口扫描器）

如何通过在线IDE发起攻击

1、代码

在 Datacamp 网站上的使用示例之一，是演示如何连接到 PostgreSQL 服务器。

那换个角度想，既然可以连接到外部 PostgreSQL 服务器，其他服务器是否可行？云服务或者 Amazon S3 bucket 又会是什么结果？

在对攻击者可能使用 DataCamp 的资源来达到隐藏攻击来源的事件做出响应后， Profero 公司的研究人员决定调查这种情况。

他们发现 DataCamp 的高级在线 Python IDE 为用户提供了安装第三方模块的能力，这些模块允许连接到 Amazon S3 bucket。Omri Segev Moyal 表示，他们在 DataCamp 平台上尝试了上述场景，能够访问 S3 bucket并将所有文件泄露到平台网站上的工作区环境中。

要访问 AWS 资源，首先安装 boto3 模块：

下一步是连接到 S3 bucket，罗列并下载其中的所有文件：

从攻防中的防御方来看，文件下载的 CloudTrail 日志如下：

文件上传日志如下：

通过两个日志可以看出，useragent 为：

这允许使用 boto 框架从 python 脚本中快速识别响应，

另外，查看日志中的 ip 地址时，发现流量显示来自 Amazon

由于 DataCamp 使用 AWS 的服务器，来自 DataCamp 的活动很可能会成功执行，而蓝队无法检测到此类的活动。即使是那些进一步检查连接的人也会陷入死胡同，因为没有已知的确定来源。

以上是可以执行攻击的基本示例，在使用 Github API、Azure API 和任何在线资源等其他场景时都可能受到此方法的影响。

2、工具

为了对攻击场景的研究更进一步，研究人员试图导入或安装通常用于网络攻击的工具，例如 Nmap 网络映射工具。DataCamp 平台无法直接安装 Nmap，但 DataCamp 允许编译它并从编译目录执行二进制文件，如图：

Profero 的事件响应团队还测试了他们是否可以使用终端上传文件并获取共享文件的链接。他们能够上传 EICAR——用于测试防病毒解决方案检测的标准文件，并可以分享它的链接。

（EICAR 文件上传到 DataCamp）

下载链接可用于通过简单的 Web 请求将其他恶意软件下载到受感染的系统。

此外，这些下载链接可能会在其他类型的攻击中被滥用，例如托管恶意软件以进行网络钓鱼攻击，或通过恶意软件下载其他有效负载。

尽管 Profero 没有将他们的研究扩展到其他学习平台，但研究人员认为，DataCamp 并不是黑客可以滥用的唯一平台。

参考链接

https://medium.com/proferosec-osm/online-programming-learning-sites-can-be-manipulated-by-hackers-to-launch-cyberattacks-a684d9f4daef

https://www.bleepingcomputer.com/news/security/online-programming-ides-can-be-used-to-launch-remote-cyberattacks/

微信关注我们

原文链接：https://www.oschina.net/news/202469

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

trzsz.js 发布 v0.4.0 新版本支持在浏览器拖目录上传到服务器

https://github.com/trzsz/trzsz.js发布 v0.4.0 新版本： 1、支持 Windows 本地的 cmd、PowerShell 等。 2、支持目录 trz -d 上传和 tsz -d xxx 下载。 3、支持拖文件，甚至拖目录，直接上传到服务器。在浏览器中使用以下代码，即可实现拖文件和目录上传。 terminalHtmlElement.addEventListener("dragover", (event) => event.preventDefault()); terminalHtmlElement.addEventListener("drop", (event) => { event.preventDefault(); trzszFilter .uploadFiles(event.dataTransfer.items) .then(() => console.log("upload success")) .catch((err) => console.log(err)); }); 需要在服务器上安装trz...

2022-07-10

380

本周更新内容： 1、库存单据数量合计存储在数据库内 2、避免委外加工单单头未输入商品导致成品入库创建发票时报错 3、采购订单外币与供应商保持一致 4、组装、委外生成入库凭证时取入库成本避免借贷不平 5、公司增加参数：供应商供货价含税 6、可在选择联系人是显示联系人所属客户，并可按人名搜索本周最佳贡献者：空缺更新提示： 1、所有基于Odoo13框架的GoodERP用户支持升级到此版本 2、更新源码后需要重启并升级 warehouse 模块更新界面 3、建议在重启前进入应用筛选出warehouse，避免因在公司增加字段而导致的其他页面不可进入 =================== GoodERP采取收费会员更新模式月会员 400元年会员 3000元终身会员 10000元下一贡献奖励 119 个红包

2022-07-10

494

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。