常见的攻击模式枚举和分类

确定相关的开源代码项目目标:敌人将根据不同的标准进行选择:

• 当前使用的开源的代码在一个选定的目标系统。
• 依赖图的深度的开源代码与其他代码库的关系在目标系统上使用。图中选择一个OSS降低减少发现的概率,而且还减少了其在目标系统中使用的范围。
• 的编程语言的开放源代码实现。不同的语言呈现不同的使用已知的软件缺陷的机会。
• 过程的质量做出贡献。例如,一些贡献网站使用静态和动态分析工具,这可能会增加发现的概率。
• 必要的安全需求作出贡献。例如,所有权松懈允许无符号提交或匿名用户。

制定计划为恶意的贡献:对手发展计划贡献恶意代码,考虑到以下:

• 敌人可能会避免填充软件弱点,特别是那些静态和动态分析工具可能会发现。
• 常见的编码错误或丢失边界情况的算法,它可以解释是意外,如果发现,将对手的首选。
• 有时不需要身份做出贡献。其他选项是偷现有身份或创建一个。当创建一个新的身份,平衡过多或过少的细节。使用一个偷来的身份可能导致通知发送给实际用户。

执行计划,恶意的贡献:写代码贡献的基础上计划,然后提交贡献。多个提交,可能使用多个身份,将帮助掩盖了攻击。监控网站的贡献来确定代码已经上传到目标系统。