洞源实验室 | 网络安全实践与AI安全探索

0x00 事件背景NPM（Node Package Manager）是Node.js的软件包管理器，用于管理和分发JavaScript代码库。通过NPM，用户可以方便地安装、更新和删除JavaScript库，以及管理项目的依赖关系。 node-pre-gyp是一个用于简化 Node.js 本机模块构建和发布的工具，它提供了统一的构建和安装流程，并自动处理不同平台和架构的差异。这样，开发人员可以更方

0x00 漏洞背景Qt是一个跨平台的C++应用程序开发框架，用于创建图形用户界面（GUI）应用程序、命令行工具、嵌入式系统和网络应用等各种类型的应用。 Qt框架包含的Qt Network（网络模块），提供了QNetworkAccessManager 类，该类允许应用程序发送网络请求和接收回复。其在处理响应时，会根据服务器发送的“Strict-Transport-Security”的响应头来更新HS

0x00 事件背景PyPI（Python Package Index）是Python官方的包索引和分发平台。它是一个公共的、全球性的存储库，用于存储、发布和安装Python包和模块。 PyPI允许开发者将他们编写的Python代码打包为可重用的模块或库，并将其发布到PyPI上供其他开发者使用。开发者可以通过使用pip工具（Python的包管理工具）从PyPI上安装所需的模块或库。PyPI提供了一个

漏洞背景KeePass是一款开源密码管理软件。它旨在帮助用户存储和管理他们的密码和敏感信息，以便安全地访问各种在线服务和应用程序。 KeePass提供一个安全的数据库，其中可以存储用户名、密码、网站链接、附加说明和其他自定义字段。这些信息被加密保护，并需要一个主密码或密钥文件才能解锁和访问。 漏洞信息 漏洞影响该漏洞存在于2.54之前的KeePass2.x版本中。成因是由于KeePass文本框内容

2015年9月，有人爆出XCode编译器中存在植入的第三方代码，非官方渠道下载的XCode编译发布的iOS应用可能存在后门，后经证实，有上千款iOS应用存在恶意代码注入，该事件被称之为XCodeGhost。 2017年5月，国外的安全人员发现惠普多个系列笔记本电脑的音频驱动中存在内置键盘记录器，能够监控用户的按键输入，并保存在可读文件中。之后，惠普回应称这是调试驱动的代码，并发布了更新驱动程序。

一、事件背景3CX是一家软件公司，该公司为客户提供基于软件的电话系统，用于企业或组织内部的通讯。 3CX电话系统可以在Windows或Linux服务器上部署，并提供包括VoIP、PSTN和移动电话在内的多种通讯方式。此外，3CX还提供一系列的通讯软件，包括用于电脑、移动设备及浏览器的应用程序，可以让用户通过各种方式与他人通讯。据3CX称，其提供的软件服务了600,000多个客户，遍布全球190多个

一、事件背景腾讯旗下的微信是一款社交通讯应用程序，由中国互联网巨头腾讯公司开发和运营。作为一款领先的社交应用，微信在全球范围内拥有大量的注册用户，且用户的活跃度极高。在微信中，用户可以通过扫描二维码来进行好友添加、进入公众号页面、加入群聊、进入小程序等。 2023年4月23日，用户在扫描或浏览某些畸形二维码时，会导致微信出现闪退等异常情况。 据了解，这种异常情况主要是由于畸形二维码造成的越界读取产

安全发布是产品或项目的正式发布或正式上线活动，这意味着一旦发布完毕，所有的用户都可以看到和使用产品，如果被发现有安全漏洞或遇到安全攻击，其影响可能会涉及到所有的用户，轻则影响产品或公司形象，重则影响公众对于产品或公司的信任，甚至产生财产损失。 在SDL模型中，安全发布涉及到三个活动，分别是事件响应计划、最终安全评析以及发布/存档。 事件响应计划是公司安全部门应当具备和准备的能力和方案，不

在软件开发生命周期（SDLC）的测试或验证阶段，不同的企业因为团队或者业务模式的区别而选择不同的做法和设计，单一的安全验证流程并无法满足所有的测试场景或验证场景。 比如，有的企业会有测试环境、预生产环境和生产环境，有的则只有测试环境和生产环境，有的甚至还会细分到开发人员本地的单元测试环境；测试环境的构建中，有的团队会要求开发人员本地测试通过后构建Docker镜像包，再通过诸如SonarQube等测

安全实施的工作针对的是研发团队以及研发过程，之所以称为实施，是因为在该过程中不仅涉及到开发工作，还涉及到包括编码规范、工具使用以及静态代码审计等非具体开发类的内容。 在SDL的安全实施步骤中，主要有三个部分的内容： 采用恰当的、安全的开发工具； 采用合理的、安全的开发库或API； 实施静态代码审计，即静态分析。 使用恰当的、安全的开发工具可以避免由于开发工具自身的合规问题和漏洞问题导致企