该技能提供软件供应链攻击的完整攻防方法论，适用于授权红队演练。用途是围绕开发者、包注册表、构建系统与部署流水线之间的信任关系，寻找可影响下游大量使用者的攻击面。
主要能力覆盖攻击生命周期：从目标工件（锁文件、source map、报错信息、GitHub 仓库）枚举内部包名；识别 npm、PyPI、NuGet、Maven、Go、Ruby 等生态与注册表配置；选择依赖混淆、域名仿冒、构建钩子注入、CI/CD 篡改或容器供应链等攻击向量；准备带 DNS canary 或 HTTP 回调的安全概念验证包；在公共注册表注册或暂存工件；通过回调确认执行并记录攻击路径、受影响系统与修复建议。
必要用法示例：用 confused -l npm package-lock.json 扫描 npm 锁文件中的可疑包，confused -l pip requirements.txt 扫描 Python，confused -l nuget packages.config 扫描 NuGet；安装方式为 go install github.com/visma-prodsec/confused@latest。侦察时可用 curl 检查公共注册表是否返回 404 以判断包名可注册。
防御视角包括：注册表固定、锁文件完整性、可复现构建、依赖扫描、镜像按 digest 固定、Sigstore/cosign 验证、CI/CD 加固、内部包名预留。
限制：资料明确要求仅用于授权红队参与，使用 DNS canary（如 Burp Collaborator、interactsh）回调，禁止部署破坏性载荷，仅外泄主机名与用户名，PoC 包需标注安全研究说明并在演练窗口内从公共注册表移除。具体价格、平台支持范围、法律合规细节及部分生态的完整操作步骤暂未提供。