performing-supply-chain-attack-simulation

执行供应链攻击模拟

概述

软件供应链攻击会利用人们对软件包注册表的信任，手段包括：域名抢注（注册与热门软件包名称相似的名称）、依赖混淆（发布版本号更高、名称与私有软件包匹配的公有软件包），以及篡改软件包分发渠道。此技能通过计算软件包名称与热门 PyPI 软件包名称之间的 Levenshtein 距离、通过比较 SHA-256 哈希值验证软件包完整性、使用 pip-audit 扫描已知 CVE，以及测试依赖解析顺序以检查混淆漏洞，从而检测这些攻击向量。

适用场景

• 开展涉及供应链攻击模拟的安全评估时
• 遵循相关安全事件的事件响应流程时
• 执行定期安全测试或审计活动时
• 通过实际测试验证安全控制措施时

前置条件

• Python 3.9+，并安装 pip-audit、Levenshtein、requests
• 可访问 PyPI JSON API（https://pypi.org/pypi/{package}/json）
• 可联网获取软件包元数据

法律声明： 此技能仅用于经授权的安全测试和教育目的。未经授权对不属于您或您未获得书面测试许可的系统进行操作属于违法行为，且可能违反计算机欺诈相关法律。

重点检测领域

1. 域名抢注 — 使用编辑距离阈值，将软件包名称与热门 PyPI 软件包进行比较
2. 依赖混淆 — 检查公有 PyPI 上是否存在版本号更高的同名内部软件包
3. 哈希验证 — 下载软件包，并验证 SHA-256 摘要是否与已发布的哈希值匹配
4. 漏洞扫描 — 根据 OSV 和 PyPA 公告数据库审计已安装的软件包
5. 元数据异常 — 标记作者邮箱可疑、缺少主页或首次上传日期非常近的软件包

输出

JSON 报告，包含每个软件包的风险评分、检测到的攻击向量、哈希验证结果和 CVE 发现结果。