URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 125519
[ Назад ]
Исходное сообщение
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mitmproxy-iframe"
Отправлено opennews , 13-Окт-21 09:43 
Автор mitmproxy, инструмента для анализа трафика HTTP/HTTPS,  обратил внимание на появление в каталоге Python-пакетов PyPI (Python Package Index) форка своего проекта. Форк распространялся под похожим именем mitmproxy2 и несуществующей версией 8.0.1 (актуальный выпуск mitmproxy 7.0.4) с расчётом на то, что  невнимательные пользователи воспримут пакет как новую редакцию основного проекта (тайпсквоттинг) и пожелают опробовать новую версию...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=55961

Содержание
Сообщения в этом обсуждении
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено ET , 13-Окт-21 09:43 
тёмная сторона форков
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Стас Михайлов , 13-Окт-21 09:45 
никогда не было и вот опять ©
Зевнул.
Уже даже не смешно.
Норма для ноды, руби и прочих растов с композерами.
Забавно смотреть как поступи ничего из себя не представляющие обитатели местного зоопарка хейтят платформу столь сильно оказывающую влияние на развитие индустриии. Уязвимость даже не в самой платформе а в пакете, пакетный менеджер работает аналогично всем остальным в других платформах. Но нет, побомбить то принято именно с PyPi. В святом расте то такое уж точно недопустимо.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено QwertyReg , 13-Окт-21 11:29 
Удивительно! В популярнейших репозиториях находят вредоносные пакеты! Как такое может быть?
И да, раз находят и удаляют, значит, всё хорошо. Плохо, если не находят и не удаляют, как в популярнейшем магазине приложений для Linux на смартфонах.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Anonymous XE , 13-Окт-21 12:54 
>магазине приложений для Linux на смартфонах

Такой вообще существует? Android не Linux, если что.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено QwertyReg , 13-Окт-21 12:57 
> Такой вообще существует? Android не Linux, если что.

Ой, да бросьте. Когда надо булькнуть про "Linux - самая распространённая в мире ОС", то Android тут же становится дистрибутивом Линукса.
Линуксом он резко перестаёт быть, когда приходит понимание, сколько дыр, вирусни и тормозов в этом дистрибутиве.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 13:02 
Линукс самая распространённая ОС без андроида, можете фантазировать что угодно. Хромос это линукс в принципе, андроид уже не очень.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 13:14 
> Линукс самая распространённая ОС без андроида, можете фантазировать что угодно.

Пруфцы давай, нефантазер ты наш опеннетный.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 14-Окт-21 00:40 
Linux это ядро, а не ОС и да, оно самое распространённое.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено QwertyReg , 14-Окт-21 08:31 
> Linux это ядро, а не ОС и да, оно самое распространённое.

Это плохой аргумент.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено gogo , 13-Окт-21 18:54 
> пакетный менеджер работает аналогично всем остальным в других платформах.

если вы имеете ввиду npm и т.п. - то да.
но вы сможете совершить подобный трюк с CentOS, например.

так что ваша новомодное понятие нормы для пакетных менеджеров и есть уязвимость. в мозгах.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено gogo , 13-Окт-21 18:55 
после "например" следует читать знак вопроса вместо точки )
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 09:46 
так они не догонят nodejs
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 09:55 
Когда устанавливаю из него блобы с 10 пользователями, успокаиваю себя тем, что их разработчик уже год-два ведёт проект, и страраюсь верить в то, что если все ссылки на китайский клон гитхаба отвалились, это совершенно нормально. Но всё-таки бинарные пакеты немного страшновато. Хорошо, когда собирается из исходников или вообще без блобов идёт. К сожалению это часто невозможно, нужны и gcc старых версий, и rust неопределённых версий и различные бинарные библиотеки из ещё более стрёмных проектов, которые приходится собирать отдельно.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним12345 , 13-Окт-21 10:50 
Какая жесть
А ведь это раздольное поле
Существуют тысячи питоновских пакетов, и любой может быть подвержен такой атаке
Если майнтэйнеры спят, то пиши пропало ...
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним12345 , 13-Окт-21 10:53 
С другой стороны, каков процент устанавливаемых пакетов с Pypi ?
Я имею ввиду, что каждый дистрибутив имеет свою собственную проверенную базу пакетов,
которую мы получаем при установке дистрибутива
И внедриться туда на порядок сложнее
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Роман , 13-Окт-21 11:55 
Once we have our requirements.txt file inside the image, we can use the RUN command to execute the command pip3 install. This works exactly the same as if we were running pip3 install locally on our machine, but this time the modules are installed into the image.

RUN pip3 install -r requirements.txt


это из официального гайда по докеру. Сколько докер образов используется в мире, можете сами прикинуть.

Из пакетов ставят олдфаги, все остальные ставят сразу в докер.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 12:03 
Внимание вопрос, а что тогда ставится в докер этой командой, если не пакеты?
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено pashev.me , 13-Окт-21 12:52 
А ты забавный
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 10:58 
Ещё бывает что оригинальный проект не обновлялся пару лет. И все ссылки на почивший гулогхостинг ведут. Это реальная проблема, приходится очень внимательно проверять, что устанавливаешь. И сравнивать изменения форка. Иногда проще уже написать свой наколенный вариант. Ужасные люди такие вещи с подменой имени делают, как их земля только носит.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено YetAnotherOnanym , 13-Окт-21 16:18 
> приходится очень внимательно проверять, что устанавливаешь

А почему разработчик не может проверить одну версию зависимости, в которой есть весь необходимый функционал, и дальше прибить её гвоздями через хэш в конфиге установщика?

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 16:30 
Потому что в протухших версиях баги, проблема даже не в фунциональности зачастую.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено YetAnotherOnanym , 13-Окт-21 19:24 
А в свеженьких?
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 19:30 
Очень многие проекты обновляются только когда приходится исправлять проблемы. Часто для этого делают форк потому что оригинальный автор nowhere to be found.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено YetAnotherOnanym , 14-Окт-21 01:14 
> Очень многие проекты обновляются только когда приходится исправлять проблемы. Часто для
> этого делают форк потому что оригинальный автор nowhere to be found.

Ну, ок, пофиксили обнаруженный баг, проверили новую версию либы на корректность работы в нашей аппликухе и снова прибили гвоздями проверенную версию в конфиге инсталлера.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Онаним , 14-Окт-21 07:24 
Потому что там crowd coding.
Миллионы мух пытаются собрать из говна и палок собственные проекты.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 14-Окт-21 00:43 
Какая жесть
А ведь это раздольное поле
Существуют миллионы хостов в интернете и любой может быть контролируемым мошенниками
Если голову не включать, то пиши пропало ...
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено _kp , 13-Окт-21 11:56 
Вообще такой "вредоносный" код обычное дело при отладке с нескольких разных машин.
Автору достаточно было задокументировать это.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 13:21 
Вполне ожидаемо. Не npmом единым.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 15:51 
> Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mitmproxy-iframe

Это не все вредоносные. Там по сути всё вредительство.

"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 13-Окт-21 16:11 
Происки злых пыхарей, не иначе!
Баттхертят, что пистончик самый популярный и не дырявый практически. В отличии от... Дыр найти не осилили, так диверсию устроили. Это так... по пхпшному.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Аноним , 14-Окт-21 09:31 
Питону никогда не стать столь же распространённым по количеству внедрений как php. Не востребован. Люди хотят готовые решения типа Wordpress, а на питоне их нет. Да и производительность у питона никакая по сравнению с php.
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Hck3r , 13-Окт-21 21:36 
Он один из авторов. Вообще оригинальную версию выложил Aldo Cortesi
Потом уже там целое коммьюнити вокруг этого пакета образавалось
"Из каталога PyPI удалены вредоносные пакеты mitmproxy2 и mit..."
Отправлено Ракамакафон Генкбенков , 14-Окт-21 11:04 
Не ну а чо, переиминуй зафаршмаченную вирьём сборку винды от толяна на "ШИНДОВС-12 нью спешал эдишан", слей это г-но на торрент и афигеешь сколько модников качнет этат скам. Тут так-же, основы С_И же чо..