不改一行程式碼就植入後門：Axios 供應鏈攻擊完整拆解

Axios 遭供應鏈攻擊劫持，駭客不改原始碼，1.1 秒內植入後門並自動消失。完整拆解五步攻擊鏈、受影響版本自檢方式，以及 npm 生態讓這類攻擊成為可能的結構性問題。 ⭐ 文章深度讀：拆解了 npm 三個結構缺陷如何被同時利用成完美攻擊面 → https://heymaibao.com/axios-npm-supply-chain-attack/ ⚡ 章節重點 不改一行碼就能植入後門 00:00 攻擊者的五步完美犯罪 01:31 1.1 秒消滅所有證據 04:00 npm 生態的三個系統性原罪 04:33 你信任的軟體信任了誰 06:04 📝 懶人包 ∙ Axios 遭供應鏈攻擊劫持。攻擊者竊取維護者的 npm token (套件發佈權杖)，加了一行依賴就能在 1.1 秒內植入後門，惡意程式還會自動消失。 ∙ 受影響版本是 1.14.1 和 0.30.4。使用自動更新範圍的 174,000 個下游專案，可能在不知情的情況下拉取了被污染的版本。 ∙ 攻擊者提前 18 小時上傳乾淨版本，讓自動化掃描工具先建立「安全」的基準，再用 npm CLI 直接發佈繞過 CI/CD (自動化測試與部署流程) 的所有防線。程式碼審查在面對「看起來正常」的依賴變更時幾乎無防禦力。 ∙ 我的觀察：問題不只是 Axios 被駭，而是 npm 生態有三個結構缺陷同時被利用。長效 token 讓一次竊取就能永久發佈、postinstall (安裝後自動執行腳本) 讓惡意程式不需要被引用就能啟動、加上沒有強制雙重驗證。這三者疊加，才構成了完美攻擊面。 📚 參考資料 the WORST satisfsatisfied of 2026 // Axios Hacked - NetworkChuck → https://youtube.com/watch?v=eGSsoSEppNU