Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В репозитории PyPI выявлено около 5000 оставленных в коде секретов и  8 вредоносных обфускаторов, opennews (??), 24-Ноя-23, (0) [смотреть все] Скрыто модератором, Аноним (1), 18:18 , 24-Ноя-23, (1) –1 // Скрыто модератором, Аноним (3), 18:19 , 24-Ноя-23, (3) +2 Скрыто модератором, Аноним (2), 18:18 , 24-Ноя-23, (2) Никогда такого небыло Ну как говорится в лучших традициях PyPI и Cargo , Растишка (?), 18:25 , 24-Ноя-23, (8) –3 // А что было в Cargo , freecoder (ok), 19:37 , 24-Ноя-23, (19) // он перепутал с npm, Аноним (21), 19:42 , 24-Ноя-23, (21) +5 // Любая подобная репа будет помойкой, можно не тратить усилия и не устраивать тут , YetAnotherOnanym (ok), 20:05 , 24-Ноя-23, (23) +4 Но и cargo потенциально не безопасен Люди ждут, что пакеты пишут профессионалы,, pda (ok), 20:08 , 24-Ноя-23, (24) +3 Но и любой репозиторий потенциально небезопасен Если ты добавишь в зависимость в, Анонин (?), 20:44 , 24-Ноя-23, (25) –2 Троян вполне можно получить и с офф аккаунта, Neon (??), 02:26 , 26-Ноя-23, (80) Троян можно написать самому, Аноним (105), 21:33 , 27-Ноя-23, (105) Люди ждут, что пакеты пишут профессионалы, что на загруженный код можно положит, Аноним (59), 13:58 , 25-Ноя-23, (59) –4 так код этих опускаторов - работал Тесты пройдены, прафисианал в деле то ест, нах. (?), 15:51 , 25-Ноя-23, (65) +6 да и не только тесты Говорят, тайпскрипт очень хорошо воспринимает сторонние па, Бывалый смузихлёб (?), 17:21 , 26-Ноя-23, (97) Порой проще свой код написать, чем ковырять и делать полный аудит чужого Да и р, Neon (??), 02:28 , 26-Ноя-23, (81) Ну потестил - заработало, нужная фича появилась Что ещё Для большого и относит, Бывалый смузихлёб (?), 17:26 , 26-Ноя-23, (98) +1 Мелочёвку проще написать самому, что бы точно работало как ожидаешь А что крупне, _kp (ok), 11:40 , 27-Ноя-23, (101) А в SD он используется Этот ПаПай, Аноним (12), 18:38 , 24-Ноя-23, (12) // ServiceDesk , Аноним (34), 02:29 , 25-Ноя-23, (34) // Стандартное отклонение 8212 от англ standard deviation , Аноним (62), 14:52 , 25-Ноя-23, (62) –1 // Обычно это пишут в нижнем регистре , Аноним (34), 15:43 , 25-Ноя-23, (64) Stable Diffusion, Аноним (78), 23:34 , 25-Ноя-23, (78) пакетная база большая из них больше половины явно мусорное кем это фильтрует, Аноним (13), 19:01 , 24-Ноя-23, (13) +1 // pypi и npmjs сборники мусора который нельзя удалять там полно никому не нужны, анон (?), 19:41 , 24-Ноя-23, (20) +2 // Хорошо, что в Golang такого нет , 11111001010 (?), 08:40 , 25-Ноя-23, (42) +1 Помещаешь пакет как уязвимый, и когда останется меньше 100 пользователей - удаля, Аноним (46), 09:44 , 25-Ноя-23, (46) // Никогда Как висело зависимостью в 1000 не менее брошенных пакетов, так и будет , Tron is Whistling (?), 23:53 , 25-Ноя-23, (79) +1 Ну, да, мусорные пакеты, которые никто не поддерживает и вряд ли кто-то использу, Аноним (46), 06:10 , 26-Ноя-23, (83) Кто сказал, что в хламореповнике ими никто не пользуется Там ещё 100500 чуть мен, Tron is Whistling (?), 11:38 , 26-Ноя-23, (90) Если посмотреть на код, который загружают скрипты, то станет понятно, что это дл, kl0p (?), 19:05 , 24-Ноя-23, (14) +1 // генерируется мусор а виндузятникам пофигу обычно что там крутится, Аноним (13), 19:20 , 24-Ноя-23, (16) –1 ну не нужен пока никому неуловимый джо Майнинг снова вышел из моды а больше ни , нах. (?), 09:42 , 25-Ноя-23, (45) Т е на 5 млн пакетов нашли всего восемь вредноносных И из-за чего шум тогда , Анонин (?), 19:14 , 24-Ноя-23, (15) –2 // Чукча, очевидно, не читатель, Аноним (18), 19:32 , 24-Ноя-23, (18) +2 Это перекликается со старым анекдотом У одного мужика все лето крали арбузы,ему , Аноним (60), 14:35 , 25-Ноя-23, (60) +1 Причина потерять веру в нечто, похожее на IT А, Python Тормозящая туфта Под, Аноним (18), 19:31 , 24-Ноя-23, (17) // ну зачем ты так вот сразу-то Интегрированный в пакеты вредоносный код был специф, пох. (?), 19:47 , 24-Ноя-23, (22) +7   // Понятно, что Python убог, но списывать на 171 либы 187 всё 8212 такое себ, Аноним (53), 11:12 , 25-Ноя-23, (53)   Ничего особо не мешает сделать похожее и под линукс, Neon (??), 02:29 , 26-Ноя-23, (82)   // трудозатраты мешают Там выше уже писалось же - майнинг снова вышел из моды, на , нах. (?), 11:50 , 26-Ноя-23, (95)   Скрыто модератором, Аноним (-), 21:06 , 24-Ноя-23, (28) Хламокодинг всегда был и будет хламокодингом, пора уже привыкнуть , Tron is Whistling (?), 20:58 , 24-Ноя-23, (27) // Бечь-то куды, куды бечь скажите Рейс на Марс видимо отменяется - там опять буде, нах. (?), 22:46 , 24-Ноя-23, (30) +1 // Куды бечь - скрыто в никнейме Не моём Именно туда, подальше от хламокодинга , Tron is Whistling (?), 22:48 , 24-Ноя-23, (31) // Уныло глядит на требования к водителю автобуса в одной не вконец еще е6анувшейся, нах. (?), 09:38 , 25-Ноя-23, (43) +1 Скрыто модератором, Аноним (51), 10:46 , 25-Ноя-23, (51) К здравомыслию, не , Аноним (53), 11:23 , 25-Ноя-23, (56) Чем больше синтаксического сахара в яп, тем больше проблем и узких мест , Аноним (32), 23:24 , 24-Ноя-23, (32) –1 // Как известно, C - это ассемблер, щедро политый сахарным сиропом , Аноним (34), 03:23 , 25-Ноя-23, (36) +1 // Нет, Аноним (53), 11:24 , 25-Ноя-23, (57) Тут приходится выбиоать либо ничем не политый и софта на нём 3 5 штуки, либо до, Аноним (71), 17:35 , 25-Ноя-23, (71) Вендузятников-любителей обфускации не жалко, зря они заложили pyobf-пакеты , x3who (?), 23:58 , 24-Ноя-23, (33) Не иначе через зависимости зловреды устанавливаются Когда глубина зависимостей , Аноним (35), 02:56 , 25-Ноя-23, (35) Предполагаю, что через какое-то время демократия закончиться и кто-то начнет дум, Аноним (39), 04:05 , 25-Ноя-23, (39) // Зачем Так оно копейки стоит, а это в этот хлам вкладываться придётся Собственно, Tron is Whistling (?), 10:02 , 25-Ноя-23, (48) К какому классу отнести компании, пихающие телеметрию и бэкдоры в бинарники сред, nox. (?), 10:31 , 25-Ноя-23, (49) +1 Так всегда было Это извечная борьба Если ты не закроешь дверь, то найдётся кто, Вы забыли заполнить поле Name (?), 19:04 , 25-Ноя-23, (75) +1 Зачем вы ляпаете слова, смысл которых не знаете Когда любой можно опубликовать , Аноним (102), 12:20 , 27-Ноя-23, (102) никогда не понимал, зачем это, когда есть пакетный менеджер ОС, Аноним (40), 04:47 , 25-Ноя-23, (40) –1 // Ось может любой создать, даже я свой дистриб собираю Пакетный менеджер должен б, Аноним (41), 06:01 , 25-Ноя-23, (41) // эээ изначальный набор слов я вообще не понял, к чему последний бред тоже не по, Аноним (40), 09:58 , 25-Ноя-23, (47) Для распространения софта У других могут быть другие дистрибутивы или операцион, Вы забыли заполнить поле Name (?), 11:21 , 25-Ноя-23, (55) // Именно так и делается Благо в мире C зависимости обычно позадачные, а не постро, Tron is Whistling (?), 11:45 , 25-Ноя-23, (58) // Не от хорошей жизни Вот дать нормальные модули в язык, унифицированную систему , Вы забыли заполнить поле Name (?), 18:53 , 25-Ноя-23, (73) Ну, вот что ни хипстерский шит, то обычно да, с маленькими модулями и хламокодин, Tron is Whistling (?), 22:38 , 25-Ноя-23, (76) Кстати, если говорить про js, то ранее, до распространения npm и модулей commonj, Вы забыли заполнить поле Name (?), 22:43 , 25-Ноя-23, (77) –1 Отравили репозиторий Python Это системная проблема Без репозиториев, которые с, nox. (?), 10:37 , 25-Ноя-23, (50) +2 // приматы после просмотра двух роликов по машинному обучению считают себя спецами , Аноним (40), 11:01 , 25-Ноя-23, (52) +1 // Всегда так было Просто язык популярен и это побочный эффект До этого популярен, Вы забыли заполнить поле Name (?), 18:58 , 25-Ноя-23, (74) –1 Как я понимаю, проблема заключается в том, что многие разработчики , которые по, ptr (??), 11:14 , 25-Ноя-23, (54) // Может и в состоянии, но там по цепочке дедка за репку, бабка за дедку, внучка з, Аноним (60), 14:52 , 25-Ноя-23, (61) // Не утрируйте Таких базовых библиотек, которые все тянут за собой, пару десятков, ptr (??), 15:09 , 25-Ноя-23, (63) +1 // Угу, разворачивал я одно такое поделие, ну, потребовалось - по принципу разверн, Tron is Whistling (?), 11:41 , 26-Ноя-23, (91) +1 Короче всё это ныне сидит на отдельной виртуалке в чруте и имеет состояние подде, Tron is Whistling (?), 11:42 , 26-Ноя-23, (92) Не в желании скорее Поставили, работает и ладно А то, что там дичь какая-нибуд, Вы забыли заполнить поле Name (?), 18:51 , 25-Ноя-23, (72) –1 // Желание зависит, в том числе, и от квалификации Разработчику с опытом кодирован, ptr (??), 11:28 , 26-Ноя-23, (89) // В этом плане очень удобно перехлёстываются C, C , Java, NET C , PHP и ещё неск, Tron is Whistling (?), 11:44 , 26-Ноя-23, (93) А вот у езычков со своим вычурным синтаксисом всякие пито-расты с этим конкрет, Tron is Whistling (?), 11:45 , 26-Ноя-23, (94) Чёт какие-то фантазии, не пересекающиеся с реальностью, бротышка Или у тебя бол, Аноним (96), 15:32 , 26-Ноя-23, (96) Полагаю, что большинство у него - это те, кто по курсам в интернетиках И таки, Аноним (102), 12:29 , 27-Ноя-23, (103) Понятно, что моя выборка нерепрезентативна, но, судя по количеству задач в Jira , ptr (??), 14:50 , 28-Ноя-23, (106) Ну вот, например, какой-нибудь numpy или pandas использует овердовига людей Вря, Вы забыли заполнить поле Name (?), 21:20 , 28-Ноя-23, (107) Интересно, сколько такого же спрятано в растовском карго , Аноним (99), 09:08 , 27-Ноя-23, (99) // По идее меньше Во-первых, самого по себе кода там меньше понаписано Во-вторых, к, Аноним (102), 12:35 , 27-Ноя-23, (104) Они бы ещё на DepositFiles вирусы искали , Пряник (?), 09:59 , 27-Ноя-23, (100) 8,12,13,14,15,17,27,32,33,35,39,40,50,54,99,100

Сообщения

[Сортировка по времени | RSS]

	22. "В репозитории PyPI выявлено около 5000 оставленных в коде се..."	+7 +/–
	Сообщение от пох. (?), 24-Ноя-23, 19:47
	ну зачем ты так вот сразу-то? Интегрированный в пакеты вредоносный код был специфичен для платформы Windows и позволял подключаться к внешнему управляющему серверу, запускать произвольные команды на компьютере разработчика, находить и отправлять на внешний сервер конфиденциальную информацию, такую как ключи доступа, а также передавать произвольные файлы с системы. Кроме того, вредоносный код мог выполнять функции кейлоггера, перехватывать вводимые в Chrome пароли, создавать скриншоты, записывать звук и даже управлять web-камерой. на питоне же ж! (скорее всего, конечно, нихрена, и либу притащили бинарную, но обертка-то точно ж на питоне) Тут тебе и удаленное управление, и security audit, и даже вебкам стриминг - и все в одном пакете! Попробовал бы вот ты так на своем хваленом си!
	Ответить | Правка | Наверх | Cообщить модератору

	53. "В репозитории PyPI выявлено около 5000 оставленных в коде се..."	+/–
	Сообщение от Аноним (53), 25-Ноя-23, 11:12
	Понятно, что Python убог, но списывать на «либы» всё — такое себе. Новость не о том, не,
	Ответить | Правка | Наверх | Cообщить модератору

	82. "В репозитории PyPI выявлено около 5000 оставленных в коде се..."	+/–
	Сообщение от Neon (??), 26-Ноя-23, 02:29
	Ничего особо не мешает сделать похожее и под линукс
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	95. "В репозитории PyPI выявлено около 5000 оставленных в коде се..."	+/–
	Сообщение от нах. (?), 26-Ноя-23, 11:50
	трудозатраты мешают. Там выше уже писалось же - майнинг снова вышел из моды, на подкроватных серверах местных специалистов ничего уже не намайнишь, а больше толку от них нет. Поэтому неуловимый джо никому снова и не сдался, а не потому что что-то мешало.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема