Skip to content
New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

第三方CDN被投毒 #683

Open
duzc2 opened this issue Jun 14, 2024 · 15 comments
Open

第三方CDN被投毒 #683

duzc2 opened this issue Jun 14, 2024 · 15 comments

Comments

@duzc2
Copy link

duzc2 commented Jun 14, 2024

抱歉,我知道第三方CDN的问题不应该在代码仓里提,但是我不知道在哪里提合适。方便的话请管理员帮忙转达。

vConsole是从 cdn.bootcss.com 上加载的。 病毒的行为是创建了一个 iframe 里边加载了一个外站的 www.unionadjs.com/sdk.html ,这个html文件又访问了 大量的其他内容。造成的是 页面加载缓慢,最终失败。大量网络连接 占用带宽和连接数

加载地址是
//cdn.bootcss.com/vConsole/3.3.4/vconsole.min.js

我怀疑是有人在 cdn.bootcss.com 上投毒了
9d8a0ea75c1aead4b666b61efc77427

@L0veHeather
Copy link

cdn.bootcdn.net/ajax/libs/vConsole/3.15.1/vconsole.min.js同样的问题,是不是三方自己投的🧐

@espider
Copy link

espider commented Jun 20, 2024

https://cdn.bootcdn.net/ajax/libs/vConsole/3.9.0/vconsole.min.js
这个有同样的问题,手机浏览器有可能刷出来有毒的代码

@xiangmingya
Copy link

擦,前几天就被搞了https://www.unionadjs.com/you.js?version=cc0029

@echs-top
Copy link

确实是公共cdn的问题,把静态文件放到本地就没有这个病毒了

@7doger
Copy link

7doger commented Jun 22, 2024

我用的cdn.staticfile.net,也是一样的问题,请求一大堆.app域名,随机向本地爆木马碎片。

@famousprince
Copy link

可否本地保存 sdk.html,修改其中的投毒资源为 https://cdnjs.cloudflare.com/ajax/libs/vConsole/3.3.4/vconsole.min.js

@cyfung1031
Copy link

https://sansec.io/research/polyfill-supply-chain-attack

@M69W
Copy link

M69W commented Jul 8, 2024

发现大家使用的 域名不同
测试用的是 https://www.bootcdn.cn/

@famousprince
Copy link

发现大家使用的 域名不同 测试用的是 https://www.bootcdn.cn/

BootCDN 和 StaticFile(staticfile.net / staticfile.org)都有投毒问题, @cyfung1031 贴出的链接就是相关报道,建议从 cdnjs 官网下载资源到本地服务器引用

@M69W
Copy link

M69W commented Jul 8, 2024

@M69W
Copy link

M69W commented Jul 8, 2024

加载地址是
//cdn.bootcss.com/vConsole/3.3.4/vconsole.min.js

@famousprince 改为 https://cdn.bootcss.com/vConsole/3.3.4/vconsole.min.js

@famousprince
Copy link

famousprince commented Jul 8, 2024

@M69W bootcss.com 也投毒,建议用下面两个或者下载放在本地服务器上加载

https://registry.npmmirror.com/vconsole/3.3.4/files/dist/vconsole.min.js
https://s4.zstatic.net/ajax/libs/vConsole/3.3.4/vconsole.min.js

个人建议用 npmmirror,阿里维护应该更稳定

@Francklin
Copy link

推荐使用webcache.cn替代,支持cdnjs, npm, github等,支持SRI。

@elarbor
Copy link

elarbor commented Sep 25, 2024

这个插件就该和wxSDK放一起。用wxSDK就肯定需要调试器啊

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment
Labels
None yet
Projects
None yet
Development

No branches or pull requests