什么叫"供应链攻击"？
黑客只会硬闯你的防火墙？
打不过你，就打 你信任的人
用奶茶店讲明白供应链攻击
信任链 · 投毒三种手法 · SolarWinds · XZ Utils · 百事毛粉事件 · 五条防线
供应链安全科普
📦 7 Parts + Conclusion
👉 滑动
PART 01
信任链
奶茶加盟四层信任
PART 02
三种手法
投毒三种路径
PART 03
跑不掉
为什么防不住
PART 04
真实大案
SolarWinds · XZ
PART 05
不只软件
百事毛粉事件
PART 06
五条防线
怎么防供应链攻击
PART ///
写在最后
一句话记住
打不过你，就打你信任的人。
你开了家奶茶加盟店，生意不错。选址在人流密集的地铁口，店员都是熟手，原料全部从总部指定供应商进，配fang严格按总部的来，每天打烊前还自查一遍卫生。
某天突然一帮人冲进店里，说你家的珍珠有问题，顾客集体拉肚子，已经报警了。你懵了。珍珠是总部发的，配fang是总部的，你每一步都按规矩来的啊。
你查了三天三夜，发现真不是你的事。是总部那台管配fang的电脑被黑了，有人偷偷改了珍珠的比例，加了点不该加的东西。这个 「改良配fang」跟着每月的配fang更新，发给了全国所有加盟店。你、隔壁街老王、隔壁市老李，全中招了。
这就叫供应链攻击。 打不过你，就打你信任的人。
01
PART
奶茶加盟的信任链
TRUST CHAIN · 四层信任如何传递
先说正常情况下，奶茶加盟的信任是怎么一层一层传递的。
| 奶茶加盟 | 软件供应链 | 干什么的 |
|---|---|---|
| 原料供应商 | 开源库、第三方组件 | 提供基础材料 |
| 奶茶总部 | 软件开发商 | 组装成产品 |
| 加盟店 | 终端用户 | 拿到成品用 |
| 配fang更新 | 软件补丁更新 | 定期推送给门店 |
看明白没？每一层都信任上一层。加盟店信任总部的配fang，总部信任原料供应商的货。这条信任链平时相安无事，但一旦 最上面那层脏了，脏东西就跟着信任一路往下流，谁也拦不住。
02
PART
总部被黑会发生什么
ATTACK VECTORS · 三种投毒路径
攻击者动手的方式主要有三种，我挨个用奶茶店场景给你翻译。
投毒原料供应商
有人混进给你家供奶粉的厂家，当了两年库管，平时老实巴交没人怀疑他。趁一个夜班没人注意，往奶粉袋里掺了点东西。厂家没发现，总部没发现，加盟店没发现，直到顾客喝了出事。
软件世界：这叫「往开源库里塞后门」。那些免费给大家用的代码库，维护者就那么几个人，哪天混进来一个心怀鬼胎的，潜伏一两年混到权限，加段后门，全世界用了这个库的软件全得跟着倒霉。
黑掉总部的配fang系统
总部有台电脑专门管配fang，有人把它黑了，改了珍珠的糖度配比，顺手加了点不该加的料。总部自己都没发现这电脑被动过，照样把「新配fang」当正常更新发给所有加盟店。
软件世界：这叫「劫持开发商的编译器或CI/CD流水线」。你写的源代码是干净的，但编译器被改过了，它在你打包成成品的时候偷偷塞了段恶意代码。你的源码检查一百遍也查不出来，因为问题不在源码里，在工具里。这招有个外号叫 「可信工具不可信」，听着就让人头皮发麻。
冒充总部发假配送单
有人伪造了一份总部的原料配送通知，印章签名做得跟真的一模一样，直接发到你加盟店的收货系统里。你以为这是总部来的新货，高高兴兴收下了，其实是别人塞给你的毒。
软件世界：这叫「伪造签名投毒更新包」。攻击者搞了个假更新包，伪装成你常用软件的官方更新，甚至拿到了合法签名。你以为在打补丁，其实在装后门。
三种手法一个共同点
都不直接搞你，都搞你信任的源头。
03
PART
为什么你跑不掉
WHY YOU CANNOT ESCAPE · 供应链攻击的杀伤力
这才是供应链攻击最让人绝望的地方。
全国 1万家加盟店。攻击者攻破总部一个人，改一次配fang，1万家店全部中招。每家店每天几百杯奶茶，一周下来几十万杯。投毒成本是 1，受害者是 十万级往上跳。
你作为加盟店老板，能做什么？你做的每一步都对：按规矩进货、按配fang做、按流程质检。但你的质检查的是「这批货是不是总部发的」，查不出 「总部发的东西本身有毒」。因为问题不在你这一环，在上游。
你防了半天自家门面，结果坑在总部。
04
PART
软件世界真发生过
REAL CASES · 两大供应链攻击事件
奶茶店是我打的比方，但软件世界里一模一样的事真发生过，还都是大案。
SolarWinds，2020年
SOLARWINDS · 1.8万家企业被波及
黑客攻破了这家软件公司的服务器，往正版更新包里塞了后门。 1.8万家企业下载了这个带毒更新，其中约100家高价值目标被深入渗透，包括美国国务院和五角大楼。黑客没去硬闯五角大楼的防火墙，人家从卖软件的公司入手，让五角大楼自己把后门装进了家门。
相当于总部被黑，所有加盟店跟着收到毒配fang，最大的那家店还被人翻了个底朝天。
XZ Utils，2024年
XZ UTILS · 全球Linux差点全军覆没
一个人潜伏到一个开源压缩工具里，混了 两年半才动手，悄悄加了后门。全世界几乎所有Linux系统都用了这个工具，差点全军覆没。幸亏微软一个工程师做基准测试时偶然发现SSH登录慢了半秒，觉得不对劲，追查下去才扒出来。
相当于奶粉供应商被渗透了两年半，全国奶茶店差点集体中毒，最后关头被一个路过的顾客尝出味不对。
05
PART
别以为这事只发生在软件里
REAL WORLD · 百事毛粉事件
2026年7月底，百事食品武汉分厂爆出「毛粉事件」。
乐事薯片生产过程中会产生一种废料叫「毛粉」，就是土豆皮渣和洗土豆的沉淀物。按规定这东西只能做饲料或者工业胶水， 不能给人吃。
但是记者暗访发现，这些毛粉被中间商收走后，露天堆放，淋雨发霉，生虫发臭，然后卖给湖北、四川的淀粉厂。淀粉厂简单提纯一下，包装成「食用马铃薯淀粉」，流向食品加工厂，做成粉丝、宽粉、肉丸、火腿肠，最后端上你的餐桌。
百事薯片厂
上游·废料没管好
中间商
传递渠道·发霉转运
你的餐桌
加盟店·一碗粉丝
脏东西顺着供应链一路往下流
你看这条链：百事薯片厂是上游，中间商是传递渠道，淀粉厂是开发商，食品厂和消费者就是加盟店和你。上游的废料没管好，脏东西顺着供应链一路往下流，你以为买的淀粉是正经土豆做的，其实是 发霉的薯片废料提纯的。
这不就是现实版的供应链攻击吗？
06
PART
那怎么防
DEFENSE · 五条防线
说完吓人的，说点能做的。供应链攻击防起来确实难，但不是没办法。
别把信任当全权委托。你用别人的开源库，不代表你信任他就不用看了。关键组件要自己过一遍代码，或者用之前看看有没有人审过、有没有安全审计报告。奶茶店老板进货也不能光看供应商的质检章，偶尔得自己抽检一下。
锁死关键环节。编译环境、CI/CD流水线这些「配fang系统」要重点保护，权限最小化，操作留日志，关键步骤双人复核。总部那台管配fang的电脑，不能谁都能摸。
建立物料清单。软件行业管这叫SBOM，软件物料清单。你这个产品里用了哪些库、哪个版本、从哪来的，全列出来。一旦某个库爆出漏洞，你能在 5分钟内查出来自己中没中招，而不是等顾客拉肚子了才发现。奶茶总部也应该有一张表：每批原料哪个供应商来的、哪天到的、保质期到几号，一目了然。
盯住更新。大部分供应链攻击是通过「更新」这个环节下手的。收到更新别急着装，先看看官方公告有没有异常，社区有没有人讨论。新版上线先小范围灰度，别一上来就全量推。配fang更新也是一样，先在一家店试一周，没问题再全国推。
该报就报。发现异常别藏着掖着，赶紧向监管部门和安全社区报告。XZ Utils那个事要是晚发现一个月，全球Linux系统就真集体中毒了。
///
LAST
写在最后
ONE SENTENCE · 一句话记住
供应链攻击的底层逻辑
你的安全取决于你最薄弱的那个供应商。
奶茶店老板别光盯着自己的门面，得多看看总部和供应商靠不靠谱。软件也一样，光防自己不够，得盯着你供应链上的每一环。百事薯片厂那批毛粉要是早点查清楚流向，就不会变成你家碗里的粉丝了。
信任是好东西，但信任不能代替检查。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/70042845/viewspace-3180024/ ，如需转载，请注明出处，否则将追究法律责任。
