硬编码凭据可能会带来安全风险

Secure Code Warrior 致力于帮助安全和开发人员社区学习如何编写安全代码，并降低因不安全代码而引入漏洞的风险。作为这一目标的一部分，我们将以 Uber 近期的安全事件 为契机，探讨开发人员驱动的安全性和“左移”策略的重要性。

Uber 安全事件

Uber 于 9 月 16 日发布了关于此次网络安全事件的声明，并持续进行更新。读者应注意，这是一个正在进行中的事件。让我们回顾一下目前通过 Uber 的公告以及安全社区其他权威文章所了解到的情况。

黑客首先通过 WhatsApp 获取了某位 Uber 员工的号码，并对其进行了社交工程攻击。攻击者联系该员工，通过诱导其登录虚假 Uber 网站来窃取凭据，从而获取了其用户名和密码。

Uber 账户受到多因素身份验证 (MFA) 的保护，这意味着用户除了提交密码外，还必须提供第二种身份证明。在大多数情况下，这是发送到移动设备的验证提示。

在获取凭据后，攻击者发起了 MFA 疲劳攻击，通过不断尝试登录真实的 Uber 网站，向员工的设备发送大量推送通知。攻击者再次通过 WhatsApp 联系受害者，这次他们 冒充 IT 支持人员，成功说服受害者点击了确认。

硬编码凭据

Uber 安全漏洞的根源是一次成功的网络钓鱼攻击。入侵者进入系统后，发现了包含 PowerShell 脚本的网络共享。其中一个脚本中包含管理员用户的硬编码凭据，这导致 Uber 的内部服务（如 AWS、G-Suite 和代码仓库）遭到入侵。黑客还获得了 Uber 的 HackerOne 账户访问权限。不过，据 Uber 称，“攻击者能够访问的任何漏洞报告均已得到修复”。

想看看这种漏洞在代码中是什么样子的吗？欢迎免费尝试我们的 PowerShell 挑战。

这类攻击有多普遍？

社交工程作为一种攻击向量很难防御，因为人为因素一直被认为是网络安全中最薄弱的环节。Uber 的黑客事件清楚地表明，MFA 的实施很容易被绕过。防止此类攻击的关键在于提高员工对网络钓鱼攻击手段的认识。

然而，导致 Uber 内部服务暴露的真正原因是脚本中发现的管理员用户名和密码。硬编码凭据绝非良策，因为任何开发人员以及任何能够访问代码的人都可以读取这些凭据。

但再次强调，意识是关键！具备安全思维的开发人员更有可能发现漏洞，也更不容易编写出存在漏洞的代码。

通过普及社交工程教育以及开展主动的安全编码培训，这种双管齐下的方法将减少代码库中的漏洞数量，从而在应对安全威胁的斗争中发挥关键作用。

想了解更多关于掌握安全编码最佳实践的信息吗？请查看 Secure Code Coach。在这里，您可以免费学习安全编码指南并尝试培训练习。