指令地址写在链上交易里，清掉文件也不算完

admin

删掉那个包，为什么还不算完

很多人遇到可疑依赖，处理方式很直接：把那个包删了，把文件清了，报告一交，事儿就算完。有安全公司追踪的一类加载器说明，这个做法可能不太够。研究人员发现，它出现在几十个公开的代码仓库里。删掉其中一个，剩下的照样能跑起来。别急着交差。先想清楚根在哪。

原因听起来有点绕：这套东西该去哪找下一步，这条信息并不存在被删掉的任何一个文件里。它被放在别的地方，靠一套和文件无关的机制去取。所以你清掉的是它的一个落脚点，不是它的根。删了文件，它无非换一个地方重新接上，跟你玩一场没完没了的捉迷藏。这种设计，专门克传统清理。盯着文件删，方向就错了。

这个区别很重要。过去的清理思路是找到坏东西再删掉它，默认坏东西有个固定的窝。现在这套玩法把窝和东西分开了，删窝不断根。防守上就得换个问法：它下一步要从哪拿指令，那条路我们能不能看见，能不能掐住。思路得跟着变。换个角度看，才有解。

地址藏在链上，堵域名没用

具体是这么回事。有研究说，这套加载器把指挥端在哪这个信息，放在公链的主网交易里读取。运营方的两个钱包，从年中起按固定间隔做小额转账，每个收款地址编码了一个当时的服务器位置。听起来像是给自己记地址，其实是把地址藏在了公开的账本里，光明正大地摆着。越是公开，越不容易被盯上。得顺着机制去想，而不是顺着文件。

这带来一个直接的后果：习惯用的那套拦截手段会失灵。封域名，封地址，把某个服务商拉黑，这些动作针对的都是固定的地方。可如果地址是按需从链上读出来的，今天指向这里，明天指向那里。你封掉一批，它换一批，追起来很被动。防得很累。这条路，天生堵不死。

对防守方来说，结论不是没法防，而是防的地方要往前挪。与其追着它当下的落脚点跑，不如去看这台机器有没有在正常业务之外去读链上数据，有没有和不该通信的地址频繁来往。把注意力放在行为上，比放在具体地址上更经得住变化，也更省力气。行为改不掉，地址换多少都没用。这才是抓手。这是思路的转变。想通了，动作就少了。别硬碰硬。

伪造的提交历史，哪里露马脚

这套东西还想混进正经项目。研究里提到，它会伪造提交记录，还试图通过一个被拒绝的合并请求钻进一个知名构建工具项目。被拒了，说明项目那边守住了。但伪造提交这件事本身，值得所有人多看一眼，因为提交历史常常是大家默认不去怀疑的地方。好人不会去动它。

伪造的痕迹其实有规律可找。比如提交时间明显不合常理，和作者平时活跃的时段对不上；一次改动横跨很多文件，范围大得反常；提交者的身份和改动内容之间，看不出任何合理的关联。单看一条不觉得，连着看几条，味道就不对了，破绽往往就藏在细节里。多留意，就不难发现。异常是攒出来才明显的。耐心看一眼，胜过事后补救。这点时间，值得花。

所以别把提交历史只当成一份记录，它也是证据。日常维护里，对不熟悉的贡献者，对范围异常的改动，多花两分钟看一眼作者和上下文，成本很低。真正麻烦的往往不是看不懂的地方。而是那些看着太正常、你根本不会停下来看第二眼的地方。看不见的才危险。

拉下来的依赖，怎么核一遍

依赖这件事，核心就一句：你拉下来的东西，得能证明它就是你想要的那一个。做法不复杂，锁定版本号，别用最新这种模糊的说法；核对校验和，对不上就不装。这俩动作是老生常谈，但真做到的团队没想象中多，常年在回头再弄的清单上躺着。拖，是这行的通病。今天就顺手做掉。把这两步做成习惯。慢慢来，但别停。省下的，都是自己的。

更细一点，还要留意依赖是从哪来的。同一个包，从官方源拉和从某个镜像拉，可信度是两回事。有条件的话，把依赖收拢到自己能控的源上，统一走一遍。这样至少入口是清楚的，出了事知道问题是从哪个口子进来的。而不是满地找。入口清楚，心就不慌。源头干净，后面才省心。

别嫌这套流程慢。真出了供应链的事，返工的时间比这多得多。可以把核验做成自动化的一步，卡在构建之前，不合格就断掉。人容易图省事放过一次，机器不会。让流程替人把关，是这件事上少有的、性价比很高的省心办法。它不会疲劳，也不会侥幸。把规则交给它，比自己盯强。这一步做扎实，后面省很多事。别等吃了亏再补。规则定好，照做就行。

构建机上少开几个口

构建机是个特殊的地方，它同时握着源码、凭据和发布的权限，一旦被当成跳板，后果比普通开发机重得多。偏偏它又是最容易被忽略的：跑得好好的，没人愿意为了安全去改动它。所以对它的要求，只能是能少开一个口就少开一个。这个原则，别让步。多一个口，多一分险。

具体到动作，出网是首先要收的。构建的时候要访问哪些源、哪些服务，心里得有个清单，清单之外的连接就别放行。这一步能挡住不少悄悄进行的联络，因为大部分外连在正常构建里根本没有必要。收得越紧，能被利用的面就越小。先列允许清单，再动手封。别嫌一开始麻烦。封完记得定期回头看。规则不是一劳永逸。环境变了，清单也要跟着改。

其次是隔离。构建环境用完就丢，别让它长期连着内网、攒着一堆凭据。临时环境里跑完，产物拿出来，环境清掉。听着费事，但它把一次出问题影响到一大片这个风险，压到了很小。真到要追责那一步，你也会庆幸当初留了这一手。环境干净，问题就少。省得后悔。