在线阅读版：《2023中国软件供应链安全分析报告》全文

最新推荐文章于 2025-08-09 06:45:00 发布

原创最新推荐文章于 2025-08-09 06:45:00 发布 · 1.2k 阅读

本内容遵循CC 4.0 BY-SA版权协议

![18590c825143674215b20c78e80918b9.gif](https://img-
blog.csdnimg.cn/img_convert/18590c825143674215b20c78e80918b9.gif)
聚焦源代码安全，网罗国内外最新资讯！

![9cc997aa55fac7340dba681527d600a1.png](https://img-
blog.csdnimg.cn/img_convert/9cc997aa55fac7340dba681527d600a1.png)

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

![c6cecd8d85aa12d3415144cd8e035744.png](https://img-
blog.csdnimg.cn/img_convert/c6cecd8d85aa12d3415144cd8e035744.png)

2023年7月24日，奇安信集团对外发布《2023中国软件供应链安全分析报告》（以下简称《报告》），深入分析了过去一年来国内软件供应链中开源软件应用的安全状况并附以典型案例加以说明，总结了开源软件供应链风险的趋势和变化。奇安信代码安全实验室通过数据分析发现，与前两年相比，开源软件自身的安全状况持续下滑，国内企业软件开发中因使用开源软件而引入安全风险的状况更加糟糕，开源软件供应链安全风险管控依然任重道远。

现将报告全文发布，方便阅读或收藏。完整报告下载方式见文末。

![27b66f3772c61f5012278e3b0a058935.png](https://img-
blog.csdnimg.cn/img_convert/27b66f3772c61f5012278e3b0a058935.png)

![09cbbd427c4e75c93a6d2bca46295488.png](https://img-
blog.csdnimg.cn/img_convert/09cbbd427c4e75c93a6d2bca46295488.png)

![60b6ce7dc240f2b07c27ec69c7d9d5d9.png](https://img-
blog.csdnimg.cn/img_convert/60b6ce7dc240f2b07c27ec69c7d9d5d9.png)

![e233bb8e60fc1b517cb661fa0fedfe92.png](https://img-
blog.csdnimg.cn/img_convert/e233bb8e60fc1b517cb661fa0fedfe92.png)

![ef2ab3160c61096f0b953ea8db358a15.png](https://img-
blog.csdnimg.cn/img_convert/ef2ab3160c61096f0b953ea8db358a15.png)

![43538ba3c03c8c37f4f8f9103a2ba731.png](https://img-
blog.csdnimg.cn/img_convert/43538ba3c03c8c37f4f8f9103a2ba731.png)

![ff2bd2c206896a1149252b03755c2596.png](https://img-
blog.csdnimg.cn/img_convert/ff2bd2c206896a1149252b03755c2596.png)

![68544f063f44e7bad85b8d5ad2c6e144.png](https://img-
blog.csdnimg.cn/img_convert/68544f063f44e7bad85b8d5ad2c6e144.png)

![18526b02416da2a8a2dac440cdd75738.png](https://img-
blog.csdnimg.cn/img_convert/18526b02416da2a8a2dac440cdd75738.png)

![be6470da74662e308557f2686ee28790.png](https://img-
blog.csdnimg.cn/img_convert/be6470da74662e308557f2686ee28790.png)

![e3a17e5a330ee0a346f511d4f83d6baa.png](https://img-
blog.csdnimg.cn/img_convert/e3a17e5a330ee0a346f511d4f83d6baa.png)

![5df6852e12d408b7684f4eee4cbe89a7.png](https://img-
blog.csdnimg.cn/img_convert/5df6852e12d408b7684f4eee4cbe89a7.png)

![6c6402b801bf7f6e4fd83f598401aff1.png](https://img-
blog.csdnimg.cn/img_convert/6c6402b801bf7f6e4fd83f598401aff1.png)

![33b82324bb9f3c5a9c40174eebd76ca6.png](https://img-
blog.csdnimg.cn/img_convert/33b82324bb9f3c5a9c40174eebd76ca6.png)

![ccfd567dd65a87378c1da269bda2b977.png](https://img-
blog.csdnimg.cn/img_convert/ccfd567dd65a87378c1da269bda2b977.png)

![abaa667f539158de49355c9b9d510936.png](https://img-
blog.csdnimg.cn/img_convert/abaa667f539158de49355c9b9d510936.png)

![9e1aff3b2146eeb78ca17ce053b7854f.png](https://img-
blog.csdnimg.cn/img_convert/9e1aff3b2146eeb78ca17ce053b7854f.png)

![a9af3be9c2ba1c02f801b41fe4e6369c.png](https://img-
blog.csdnimg.cn/img_convert/a9af3be9c2ba1c02f801b41fe4e6369c.png)

![56e6be281a983fb19564a0f2cbe6c8db.png](https://img-
blog.csdnimg.cn/img_convert/56e6be281a983fb19564a0f2cbe6c8db.png)

![9794f5cc59819e516599922f4f5d52a7.png](https://img-
blog.csdnimg.cn/img_convert/9794f5cc59819e516599922f4f5d52a7.png)

![ea9423db746f5a2758ca33b093432c06.png](https://img-
blog.csdnimg.cn/img_convert/ea9423db746f5a2758ca33b093432c06.png)

![aad182baa9f9fd7b9eb3c844b2a48662.png](https://img-
blog.csdnimg.cn/img_convert/aad182baa9f9fd7b9eb3c844b2a48662.png)

![3c4eb7da844f46e034680b9568d57a91.png](https://img-
blog.csdnimg.cn/img_convert/3c4eb7da844f46e034680b9568d57a91.png)

![20a79c333d633ccee6ae3052db080e07.png](https://img-
blog.csdnimg.cn/img_convert/20a79c333d633ccee6ae3052db080e07.png)

![b48dabbd9683fd6b626ddf77d20e0ccd.png](https://img-
blog.csdnimg.cn/img_convert/b48dabbd9683fd6b626ddf77d20e0ccd.png)

![b658eee061532f1e02e9ec13ac37ebee.png](https://img-
blog.csdnimg.cn/img_convert/b658eee061532f1e02e9ec13ac37ebee.png)

![b85aac8b2286cedeae5c2b91be2ba79f.png](https://img-
blog.csdnimg.cn/img_convert/b85aac8b2286cedeae5c2b91be2ba79f.png)

![a6dd30137170fdc860a713fd18e315b7.png](https://img-
blog.csdnimg.cn/img_convert/a6dd30137170fdc860a713fd18e315b7.png)

![cbc894a4b3df952ba2a565df03b7e560.png](https://img-
blog.csdnimg.cn/img_convert/cbc894a4b3df952ba2a565df03b7e560.png)

![b97227ca3bd5599bc885ef52caa6ba5f.png](https://img-
blog.csdnimg.cn/img_convert/b97227ca3bd5599bc885ef52caa6ba5f.png)

![3cbda1e050d6f31bbd3bf9fb67bb3148.png](https://img-
blog.csdnimg.cn/img_convert/3cbda1e050d6f31bbd3bf9fb67bb3148.png)

![ca1c311b0ce4fe02f981179120292e9d.png](https://img-
blog.csdnimg.cn/img_convert/ca1c311b0ce4fe02f981179120292e9d.png)

![1efc47bde535846401b46b376c404807.png](https://img-
blog.csdnimg.cn/img_convert/1efc47bde535846401b46b376c404807.png)

![9cffdf6d505ee30886b79ce716cec16e.png](https://img-
blog.csdnimg.cn/img_convert/9cffdf6d505ee30886b79ce716cec16e.png)

![0492554ec81850b462b10489949b3284.png](https://img-
blog.csdnimg.cn/img_convert/0492554ec81850b462b10489949b3284.png)

![1a99a13f3a0c9b5e2c4ca46fdff48826.png](https://img-
blog.csdnimg.cn/img_convert/1a99a13f3a0c9b5e2c4ca46fdff48826.png)

![2a0a241b25422ff0323b153b73742549.png](https://img-
blog.csdnimg.cn/img_convert/2a0a241b25422ff0323b153b73742549.png)

![5052f06ca6bd2376959801f2a34cc6b9.png](https://img-
blog.csdnimg.cn/img_convert/5052f06ca6bd2376959801f2a34cc6b9.png)

![1b84a0ef09e824111a58d78277273222.png](https://img-
blog.csdnimg.cn/img_convert/1b84a0ef09e824111a58d78277273222.png)

![d8f019689c3b1b00af355d40f03f2bc8.png](https://img-
blog.csdnimg.cn/img_convert/d8f019689c3b1b00af355d40f03f2bc8.png)

![eac089d28038069588b290732bb09c67.png](https://img-
blog.csdnimg.cn/img_convert/eac089d28038069588b290732bb09c67.png)

![6d3e1118356427fa249e7a51fab757ee.png](https://img-
blog.csdnimg.cn/img_convert/6d3e1118356427fa249e7a51fab757ee.png)

![57dac2e1b578628e2cbb062cb7ec77e4.png](https://img-
blog.csdnimg.cn/img_convert/57dac2e1b578628e2cbb062cb7ec77e4.png)

![c39130a10c6f1858e420d220df31c7aa.png](https://img-
blog.csdnimg.cn/img_convert/c39130a10c6f1858e420d220df31c7aa.png)

![0f13bf970420f4ee4cf3849e92bacb51.png](https://img-
blog.csdnimg.cn/img_convert/0f13bf970420f4ee4cf3849e92bacb51.png)

![8f6a631196c3b5e7b45b4531c3a138a0.png](https://img-
blog.csdnimg.cn/img_convert/8f6a631196c3b5e7b45b4531c3a138a0.png)

![00f93ebbdab80c0c9a0c89b994b1f8a2.png](https://img-
blog.csdnimg.cn/img_convert/00f93ebbdab80c0c9a0c89b994b1f8a2.png)

扫一扫下方二维码或点击左下角“阅读原文”，马上下载报告→

![78aa79f71e5e356ea6eade6b0a7c23c9.png](https://img-
blog.csdnimg.cn/img_convert/78aa79f71e5e356ea6eade6b0a7c23c9.png)

开源卫士试用地址：https://oss.qianxin.com

代码卫士试用地址：https://codesafe.qianxin.com

![03ba94184a72b8f567ee5cf5807ff819.jpeg](https://img-
blog.csdnimg.cn/img_convert/03ba94184a72b8f567ee5cf5807ff819.jpeg)

推荐阅读

奇安信入选全球《软件成分分析全景图》代表厂商

奇安信入选全球《静态应用安全测试全景图》代表厂商

奇安信发布《2023中国软件供应链安全分析报告》开源软件供应链的系统化安全治理需加速落地

在线阅读版：《2022中国软件供应链安全分析报告》全文

在线阅读版：《2021中国软件供应链安全分析报告》全文

Google Cloud Build 漏洞可使黑客发动供应链攻击

OWASP发布五维软件安全开发成熟度参考框架，提升软件供应链安全

给CISO的软件供应链债务偿还指南

新型供应链攻击利用被弃的 S3 存储桶分发恶意二进制

速修复MOVEit Transfer 中的这个新0day！

MOVEit 文件传输软件0day被用于窃取数据

MSI UEFI 签名密钥遭泄漏恐引发“灾难性”供应链攻击

OilRig APT 组织或在中东地区发动更多 IT 供应链攻击

“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用

GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞

流行的 NPM 包依赖关系中存在远程代码执行缺陷

速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年

Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件

微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析

速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年

SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制

找到软件供应链的薄弱链条

GitHub谈软件供应链安全及其重要性

揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司

开源软件漏洞安全风险分析

开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析

集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等

限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市

GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥

因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露

彪马PUMA源代码被盗，称客户数据不受影响

题图： ****Pixabay License

转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

![bc21b90166a40bbea18a5948b90cb9ea.jpeg](https://img-
blog.csdnimg.cn/img_convert/bc21b90166a40bbea18a5948b90cb9ea.jpeg)

![844931e1aa709df554cfc34fcf8ab044.jpeg](https://img-
blog.csdnimg.cn/img_convert/844931e1aa709df554cfc34fcf8ab044.jpeg)

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

![38e76fa03966b3779a3e613da4b2155f.gif](https://img-
blog.csdnimg.cn/img_convert/38e76fa03966b3779a3e613da4b2155f.gif) 觉得不错，就点个
“在看” 或 "赞” 吧~

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

标签

#安全