编译时间恶意软件可能吗？

Question

比方说开源程序是否有可能在编译时安装恶意软件？我正在考虑将在编译时执行恶意代码的 C 宏或 makefile 相关内容。或者只要我不开始运行已编译的程序就安全吗？

Answer 1

不仅可以通过配置或制作脚本在编译时安装恶意代码，而且可以修改编译器或构建工具以将后门或其他恶意代码注入(inject)编译后的二进制文件。也就是说，即使您正在构建的代码看起来很干净，构建工具也可能“流氓”并引入恶意代码。

恶意编译器的概念在一篇名为“Reflections on Trusting Trust”[1] 的论文中提出。最近，在 iOS 应用程序中发现了恶意软件，这些应用程序是通过攻击开发人员的编译器 (Xcode) [2] 使用此技术注入(inject)的。

底线:除非您已经编写或审查了您正在构建的项目的每一行代码、用于构建它的工具以及您正在构建它的操作系统/固件上，你不能完全相信它。

[1] https://www.ece.cmu.edu/~ganger/712.fall02/papers/p761-thompson.pdf

[2] http://researchcenter.paloaltonetworks.com/2015/09/novel-malware-xcodeghost-modifies-xcode-infects-apple-ios-apps-and-hits-app-store/