npmパッケージに悪意あるコードを混入させる方法 - Qiita

概要 本記事は直近で起きた npm パッケージ event-stream への攻撃のうち、任意のコードを忍ばせる手法の追試です。 ⚠️ 今回は攻撃者がパッケージのメンテナであったために発生したことであり、この記事を読んで誰でも攻撃できるようになるわけではありません。 ⚠️ 念のためですが、悪用しないようにお願いします。 コード ポイント 今回の攻撃では minify したコードにのみ攻撃コードが挿入されていました。ただ minify しただけでなく、一見してそれとわからないようにコードが隠蔽されていました。その手法を実際にやってみます。 この記事で確かめる隠蔽手法は次の３つです。 攻撃コードの暗号化 攻撃実行コードの require パスの隠蔽 package.json の description を見て攻撃対象を限定 ここではバージョン操作やパッケージの publish などは取り扱いま