Menu
软件供应链失效渗透测试技能，用于检测和利用第三方依赖、CI/CD 管道、制品管理中的安全漏洞
Install with Codex or Claude Copy this prompt, paste it into Codex, Claude, or another assistant, and let it review the skill page and install it for you.
Based on SOC occupation classification
身份认证失效渗透测试技能，用于检测和利用认证机制、会话管理、凭证安全中的缺陷
访问控制失效渗透测试技能，用于检测和利用权限验证机制缺陷，实现未授权访问和权限提升
加密失效渗透测试技能，用于检测和利用加密算法、密钥管理、传输/存储加密中的安全缺陷
注入攻击渗透测试技能，用于检测和利用各类解释器注入漏洞，包括 SQL、NoSQL、OS 命令、LDAP、XSS 等
不安全设计渗透测试技能，用于检测和利用架构设计、业务逻辑、信任边界等设计层面的安全缺陷
异常条件处理不当渗透测试技能，用于检测和利用错误处理、异常管理、资源清理中的安全缺陷
| name | software-supply-chain-failures |
| description | 软件供应链失效渗透测试技能，用于检测和利用第三方依赖、CI/CD 管道、制品管理中的安全漏洞 |
软件供应链失效（Software Supply Chain Failures）是 OWASP Top 10:2025 新增的安全风险类别。当第三方组件、库、工具链或开发流程存在安全漏洞时，攻击者可以通过污染供应链来影响下游应用，造成广泛的安全影响。
本技能提供系统性的方法论，指导渗透测试人员发现和利用软件供应链漏洞，包括依赖项投毒、CI/CD 管道入侵、制品篡改、签名验证绕过等攻击技术。
| 遇到的情况 | 参考方法论 | 文件路径 |
|---|---|---|
| 发现过时的依赖包 | 依赖项漏洞利用 | ref/dependency-vulnerability-exploitation.md |
| 依赖包签名验证缺失 | 依赖投毒攻击 | ref/dependency-poisoning-attack.md |
| CI/CD 配置可修改 | CI/CD 管道入侵 | ref/cicd-pipeline-compromise.md |
| 构建产物无签名 | 制品篡改攻击 | ref/artifact-tampering.md |
| 发现 typosquatting 包 | 包名混淆攻击 | ref/package-typosquatting.md |
| npm postinstall 脚本 | 恶意脚本执行 | ref/malicious-script-execution.md |
| Docker 镜像来源不明 | 镜像投毒攻击 | ref/image-poisoning.md |
| Git 仓库保护不足 | 代码仓库入侵 | ref/repository-compromise.md |
| 发现未锁定的依赖版本 | 依赖版本攻击 | ref/dependency-version-attack.md |
| 自动更新机制无验证 | 更新劫持攻击 | ref/update-hijacking.md |
| 发现内部包名与公共包冲突 | 依赖混淆攻击 | ref/dependency-confusion-attack.md |
| 发现编译时注入痕迹 | SolarWinds 类型攻击 | ref/artifact-tampering.md (专题二) |
| 发现条件触发恶意代码 | 条件触发攻击 | ref/artifact-tampering.md (专题二) |
| 发现自我传播 npm 蠕虫 | Shai-Hulud 蠕虫攻击 | ref/malicious-script-execution.md (专题二) |
| 系统/环境特征 | 参考方法论 | 文件路径 |
|---|---|---|
| Node.js/npm项目 | npm 供应链安全测试 | ref/npm-supply-chain-testing.md |
| Python/pip 项目 | pip 供应链安全测试 | ref/pip-supply-chain-testing.md |
| Java/Maven项目 | Maven 供应链安全测试 | ref/maven-supply-chain-testing.md |
| 使用 GitHub Actions | GitHub Actions 安全测试 | ref/github-actions-security.md |
| 使用 Jenkins CI/CD | Jenkins 安全测试 | ref/jenkins-security-testing.md |
| Docker 容器化部署 | 容器供应链安全 | ref/container-supply-chain.md |
| 使用私有制品仓库 | 制品仓库安全测试 | ref/artifact-repository-security.md |
| 自动部署系统 | 部署管道安全测试 | ref/deployment-pipeline-security.md |
| 问题类型 | 参考方法论 | 文件路径 |
|---|---|---|
| 如何生成和分析 SBOM | SBOM 管理指南 | ref/sbom-management.md |
| 如何检测依赖漏洞 | 依赖漏洞扫描 | ref/dependency-vulnerability-scanning.md |
| 如何验证制品完整性 | 完整性验证方法 | ref/integrity-verification.md |
| 如何审计 CI/CD 配置 | CI/CD 安全审计 | ref/cicd-security-audit.md |
| 如何检测恶意依赖 | 恶意依赖检测 | ref/malicious-dependency-detection.md |
| 如何测试签名验证 | 签名验证测试 | ref/signature-verification-testing.md |
| 如何进行依赖树分析 | 依赖树分析 | ref/dependency-tree-analysis.md |
| 如何实施虚拟补丁 | 虚拟补丁部署 | ref/virtual-patch-deployment.md |
| 如何评估供应商安全 | 供应商安全评估 | ref/vendor-security-assessment.md |
| 如何选择开源组件 | 开源项目评估 | ref/vendor-security-assessment.md (专题一) |
| 如何评估商业供应商 | 商业供应商评估 | ref/vendor-security-assessment.md (专题二) |
┌─────────────────┐
│ 供应链安全测试 │
└────────┬────────┘
│
▼
┌─────────────────┐
│ SBOM 生成分析 │
│ - 依赖清单 │
│ - 版本追踪 │
│ - 传递依赖 │
└────────┬────────┘
│
┌────────────────────────┼────────────────────────┐
│ │ │
▼ ▼ ▼
┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐
│ 发现漏洞依赖 │ │ 发现配置弱点 │ │ 发现签名缺失 │
└────────┬────────┘ └────────┬────────┘ └────────┬────────┘
│ │ │
▼ ▼ ▼
┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐
│ ref/dependency-│ │ ref/cicd- │ │ ref/signature- │
│ vulnerability- │ │ pipeline- │ │ verification- │
│ exploitation.md│ │ compromise.md │ │ testing.md │
└─────────────────┘ └─────────────────┘ └─────────────────┘
软件供应链失效攻击技术
├── 依赖项攻击
│ ├── 依赖混淆 (Dependency Confusion)
│ ├── Typosquatting（包名混淆）
│ ├── 恶意包注入
│ └── 版本回滚攻击
├── CI/CD 管道攻击
│ ├── 构建脚本篡改
│ ├── 凭证窃取
│ ├── 构建缓存污染
│ └── 部署劫持
├── 制品攻击
│ ├── 未签名制品注入
│ ├── 签名伪造
│ ├── 镜像投毒
│ └── 固件篡改
├── 代码仓库攻击
│ ├── 分支保护绕过
│ ├── PR 审查绕过
│ ├── 提交历史篡改
│ └── 密钥泄露利用
├── 更新机制攻击
│ ├── 更新服务器劫持
│ ├── 中间人攻击
│ ├── 时间窗口攻击
│ └── 回滚攻击
└── 传递依赖攻击
├── 深层依赖投毒
├── 间接依赖利用
└── 依赖树污染
| 编号 | 方法论名称 | 引用文件 | 适用阶段 |
|---|---|---|---|
| SSC-001 | 依赖项漏洞利用 | ref/dependency-vulnerability-exploitation.md | 漏洞利用 |
| SSC-001-A | Log4Shell 完整利用链 | ref/dependency-vulnerability-exploitation.md (专题二 2.6) | 漏洞利用 |
| SSC-001-B | Struts2 RCE 完整利用链 | ref/dependency-vulnerability-exploitation.md (专题二 2.7) | 漏洞利用 |
| SSC-002 | 依赖投毒攻击 | ref/dependency-poisoning-attack.md | 漏洞利用 |
| SSC-003 | CI/CD 管道入侵 | ref/cicd-pipeline-compromise.md | 漏洞利用 |
| SSC-003-A | OWASP Top 10 CI/CD 攻击向量 | ref/cicd-pipeline-compromise.md (专题二 2.6) | 漏洞利用 |
| SSC-003-B | GitHub Actions 特定攻击 | ref/cicd-pipeline-compromise.md (专题二 2.7) | 漏洞利用 |
| SSC-003-C | Jenkins 特定攻击 | ref/cicd-pipeline-compromise.md (专题二 2.8) | 漏洞利用 |
| SSC-004 | 制品篡改攻击 | ref/artifact-tampering.md | 漏洞利用 |
| SSC-004-A | SolarWinds 类型攻击 | ref/artifact-tampering.md (专题二 2.6) | 漏洞利用 |
| SSC-004-B | Bybit 条件触发攻击 | ref/artifact-tampering.md (专题二 2.8) | 漏洞利用 |
| SSC-005 | 包名混淆攻击 | ref/package-typosquatting.md | 漏洞发现 |
| SSC-006 | 恶意脚本执行 | ref/malicious-script-execution.md | 漏洞利用 |
| SSC-006-A | Shai-Hulud 蠕虫攻击 | ref/malicious-script-execution.md (专题二) | 漏洞利用 |
| SSC-007 | 镜像投毒攻击 | ref/image-poisoning.md | 漏洞利用 |
| SSC-008 | 代码仓库入侵 | ref/repository-compromise.md | 漏洞利用 |
| SSC-009 | 依赖版本攻击 | ref/dependency-version-attack.md | 漏洞利用 |
| SSC-010 | 更新劫持攻击 | ref/update-hijacking.md | 漏洞利用 |
| SSC-025 | 依赖混淆攻击 | ref/dependency-confusion-attack.md | 漏洞利用 |
| SSC-011 | npm 供应链安全测试 | ref/npm-supply-chain-testing.md | 系统化测试 |
| SSC-012 | pip 供应链安全测试 | ref/pip-supply-chain-testing.md | 系统化测试 |
| SSC-013 | Maven 供应链安全测试 | ref/maven-supply-chain-testing.md | 系统化测试 |
| SSC-014 | GitHub Actions 安全测试 | ref/github-actions-security.md | 系统化测试 |
| SSC-015 | Jenkins 安全测试 | ref/jenkins-security-testing.md | 系统化测试 |
| SSC-016 | 容器供应链安全 | ref/container-supply-chain.md | 系统化测试 |
| SSC-017 | SBOM 管理指南 | ref/sbom-management.md | 测试规划 |
| SSC-018 | 依赖漏洞扫描 | ref/dependency-vulnerability-scanning.md | 漏洞发现 |
| SSC-019 | 完整性验证方法 | ref/integrity-verification.md | 漏洞发现 |
| SSC-020 | CI/CD 安全审计 | ref/cicd-security-audit.md | 系统化测试 |
| SSC-021 | 恶意依赖检测 | ref/malicious-dependency-detection.md | 漏洞发现 |
| SSC-022 | 签名验证测试 | ref/signature-verification-testing.md | 系统化测试 |
| SSC-023 | 依赖树分析 | ref/dependency-tree-analysis.md | 信息收集 |
| SSC-024 | 虚拟补丁部署 | ref/virtual-patch-deployment.md | 漏洞利用 |
| SSC-026 | 供应商安全评估 | ref/vendor-security-assessment.md | 测试规划 |
| SSC-030 | 软件供应链攻击案例集 | ref/software-supply-chain-attack-cases.md | 测试规划/红队演练 |
| SSC-030-A | SolarWinds 攻击案例 | ref/software-supply-chain-attack-cases.md (专题一) | 红队演练 |
| SSC-030-B | Bybit 攻击案例 | ref/software-supply-chain-attack-cases.md (专题二) | 红队演练 |
| SSC-030-C | Shai-Hulud 蠕虫案例 | ref/software-supply-chain-attack-cases.md (专题三) | 红队演练 |
| SSC-030-D | Codecov 攻击案例 | ref/software-supply-chain-attack-cases.md (专题四) | 红队演练 |
| SSC-030-E | EventStream 攻击案例 | ref/software-supply-chain-attack-cases.md (专题五) | 红队演练 |
| SSC-030-F | 依赖混淆攻击案例 | ref/software-supply-chain-attack-cases.md (专题六) | 红队演练 |
| SSC-030-G | CCleaner 攻击案例 | ref/software-supply-chain-attack-cases.md (专题七) | 红队演练 |
| SSC-030-H | NotPetya 攻击案例 | ref/software-supply-chain-attack-cases.md (专题八) | 红队演练 |
| SSC-040 | CWE 映射与利用方法论 | ref/cwe-mapping-exploitation.md | 漏洞利用 |
| SSC-040-A | CWE-1395 依赖易受攻击组件 | ref/cwe-mapping-exploitation.md (专题一) | 漏洞利用 |
| SSC-040-B | CWE-1104 未维护组件利用 | ref/cwe-mapping-exploitation.md (专题二) | 漏洞利用 |
| SSC-040-C | CWE-1329 不可更新组件利用 | ref/cwe-mapping-exploitation.md (专题三) | 漏洞利用 |
| SSC-040-D | CWE-1357 不可信组件利用 | ref/cwe-mapping-exploitation.md (专题四) | 漏洞利用 |
| SSC-040-E | CWE-447 UI 功能未实现利用 | ref/cwe-mapping-exploitation.md (专题五) | 漏洞利用 |
| SSC-040-F | CWE-1035 已知漏洞组件利用 | ref/cwe-mapping-exploitation.md (专题六) | 漏洞利用 |
pt-security-misconfiguration 技能配合，检测 CI/CD 配置错误pt-insecure-design 技能配合，评估供应链安全设计pt-cryptographic-failures 技能配合，检测签名验证问题