TL; DR
የፓይፒአይ ፓኬጆች ስብስብ የ...ን ስም ተበድሮታል uvፈጣን እና በጣም ተወዳጅ የሆነው በሩስት ላይ የተመሠረተ የፓይዘን ፓኬጅ አስተዳዳሪ፣ እንደ ዩቪ ረዳቶች ለመምሰል። ምንም እውነተኛ ተግባር አያቀርቡም። በምትኩ የሚይዙት የዊንዶውስ ክፍያ ጭነት ነው የጁፒተርላብ አገልጋይ ማረጋገጫ ጠፍቶ እና በኋለኞቹ ስሪቶች፣ በተገላቢጦሽ ዋሻ በኩል ለሕዝብ ኢንተርኔት ያትመዋል።
ታሪኩ በሙሉ በአንድ መስመር እንዲህ ነው፡- የታመነ መሣሪያ ስም እንደ ማባበያ፣ እና ጁፒተርላብ እንደ የርቀት ኮድ ማስፈጸሚያ ሞተር። የጁፒተር አገልጋይ እርስዎ የሚተይቡትን ማንኛውንም ኮድ ያሂዳል።ebook ሴል፤ ባዶ ቶከን ይዞ የሚጀመር እና ወደ እያንዳንዱ የአውታረ መረብ በይነገጽ የሚገናኝ ክፍት ተርጓሚ ሲሆን ወደ ወደቡ መድረስ የሚችል ማንኛውም ሰው መንዳት ይችላል።
ክላስተሩን እንደሚከተለው እንከታተላለን ፋክስዩቪሁለቱ የተመረመሩት ፓኬጆች moon-uv (0.0.1-0.0.16) እና my-magic-uv-helper (0.0.1)፣ በተመሳሳይ ኦፕሬተር የታተመ እና በትንተና ጊዜ በPyPI ላይ በቀጥታ።
| ምህዳር | ፒ ፒ አይ |
| ጥቅሎች | moon-uv (0.0.1-0.0.16), my-magic-uv-helper (0.0.1) |
| መድረክ ኢላማ አድርጓል | የ Windows |
| ዋና ባህሪ | ያልተረጋገጠ የጁፒተርላብ አገልጋይ፣ በተገላቢጦሽ ዋሻ በኩል ወደ ኢንተርኔት ታትሟል |
| ሕጋዊ መሳሪያዎች አላግባብ ጥቅም ላይ ውለዋል | uv, JupyterLab, cloudflared, Pinggy |
ማባበያ፡- አስቀድመህ የምታምነው ስም
uv ባለፉት ሁለት ዓመታት ውስጥ በብዛት ከተጫኑ የፓይዘን መሳሪያዎች አንዱ ነው፣ ስለዚህ "ለ" ረዳት uv"አንድ ገንቢ ያለምንም ሀሳብ የሚጭነው ፓኬጅ ነው። ፋክስዩቪ ሙሉ በሙሉ በዚያ ስም ላይ ተዓማኒነቱን ያሳልፋል። ፓኬጆቹ የሚያጠቃልሉት እውነተኛ uv ከአስትራል የመጣ ጫኝ - በእውነተኛ እና በታወቁ አስተናጋጆች ላይ ባለው የክፍያ ጭነት ነጥብ ላይ ያሉ ዩአርኤሎች - ስለዚህ ፈጣን እይታ ከታመኑ ማጣቀሻዎች በስተቀር ምንም አያዩም። ከጥቅሎቹ ውስጥ አንዳቸውም ቢጨምሩም በእውነቱ አይጨምሩም። uv ተግባር፤ ስሙ ሙሉውን ሽፋን ነው።
ጁፒተርላብ እንደ RCE ሞተር
የፕላይ ሎድ ማዕከላዊ ክፍል እያንዳንዱ የጥበቃ ሐዲድ ተወግዶ ጁፒተርላብን የሚጀምር ማስጀመሪያ ነው፡
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itእያንዳንዱ ባንዲራ መከላከያውን ይነጥቃል፣ እና የተላከው ስክሪፕት እንኳን ያብራራል (በመጀመሪያው ቻይንኛ): ባዶውን ቶከን "የይለፍ ቃል እና የቶከን ቼኮችን ያጠፋል - ማንኛውም ሰው መገናኘት ይችላል።" ጁፒተር ላብ ትክክለኛ የውሂብ-ሳይንስ IDE ነው፣ ግን አይደለምebook ሕዋስ በዲዛይን የዘፈቀደ ኮድን ያስፈጽማል። በዚህ መንገድ ተዋቅሮ ወደ 0.0.0.0IDE መሆን ያቆማል እና በአስተናጋጁ ላይ ያልተረጋገጠ የርቀት ሼል ይሆናል - ምንም ብጁ የማልዌር ሁለትዮሽ አያስፈልግም፣ ዋና መሳሪያ በተሳሳተ መንገድ የሚያመለክት ብቻ።
ሁለት የድጋፍ ክፍሎች በቀላሉ ተደራሽ እና ተደጋጋሚ ያደርጉታል፡
- ጸጥ ያለ የመጫኛ ቀስቅሴ። የመጀመሪያዎቹ ስሪቶች PowerShell ን ያካሂዳሉ ከ -የአፈጻጸም ፖሊሲ ማለፊያ በቀጥታ ከ ማዋቀር.ፒ on ፒፕ መጫንከበስተጀርባ ስህተቶችን በመጨፍለቅ PIP መደበኛ ይመስላል። የኋለኞቹ ስሪቶች ተመሳሳይ ፕሪሚየም ወደ አንድ ያዛውራሉ። ፒፕ-ዩቪ የትእዛዝ መስመር መሣሪያ - እና የመጫኛ ጊዜ ራስ-ሰር ማስኬድን ሙሉ በሙሉ ይተዉት።
- የሕዝብ የኋላ ዋሻ። አገልጋይ በርቷል 0.0.0.0 አሁንም ወደ ማሽኑ በሚሄዱ አስተናጋጆች ብቻ ሊደረስበት ይችላል። የተጠቀለለ ሞዱል [ፒንግጊ](https://pinggy.io/) የአካባቢውን የጁፒተር ወደብ ወደ ይፋዊ አድራሻ የሚያስተላልፍ የSSH ሪቨርስ ዋሻ፣ ያንን ገደብ ያስወግዳል። የተላከው ስክሪፕት የክላውድፍላርን በመጠቀም አማራጭ መንገድም ይዟል - አስተያየት ሰጥቷል - ደመናማ እና netsh ወደ ሊኖድ አይፒ የሚወስደውን የፖርት-ፕሮክሲ፣ ተመሳሳይ ግብ በተለያዩ መሠረተ ልማቶች በኩል መዝግቦ ማስቀመጥ።
አንድ ላይ አስቀምጥ፡ ጥቅሉን ጫን፣ እና የዊንዶውስ አስተናጋጅ የይለፍ ቃል የሌለውን ጁፒተርላብ አስሮ ወደ ክፍት ኢንተርኔት ያትመዋል።
የውሸት ዩቪ (FauxUV) እንዴት እንደዳበረ
የፋክስዩቪ ስሪቶች በፍጥነት ተልከዋል፣ እና የክፍያው ቀስቅሴ ነጥብ በእነሱ ላይ ተንቀሳቀሰ - አንድ የተጠቆመ ስሪት የጥቅል መስመርን ሙሉ ታሪክ እምብዛም እንደማይናገር ያስታውሰናል።
ትኩረት የሚስብ፣ የመጫኛ ጊዜ ራስ-ሰር አሂድ ነበር ተወግዷል በኋለኞቹ፣ የበለጠ አቅም ባላቸው ስሪቶች — ስለዚህ ስካነር በህይወት ዑደት ላይ ብቻ ቁልፍ አለው hooks አዲሶቹን ልቀቶች እንደ ውጤት ያስመዘግባል ያነሰ አደገኛ፣ በትክክል ወደኋላ።
የስምምነት አመልካቾች
የጥቅሉን ምንጭ በማንበብ የተረጋገጠ፤ የመጨረሻ ነጥቦች ምልክት የተደረገባቸው አስተያየት ተሰጥቷል በፋይሎቹ ውስጥ ይገኛሉ ነገር ግን በተተነተነው ስሪት አልተፈጸሙም። የአውታረ መረብ አመልካቾች ተበላሽተዋል።
ከእነዚህ ትክክለኛ ሕብረቁምፊዎች ነፃ በሆነ መልኩ ሊጠነቀቁባቸው የሚገቡ የባህሪ ምልክቶች፡ ፒፕ መጫን የሚወልደው ፓወርሼል -የአፈጻጸም ፖሊሲ ማለፊያ; ማንኛውም ጁፒተር የማስጀመሪያ ጥምረት ቶከን=”” ጋር –ip=0.0.0.0; እና ወደ ውጭ የሚወጣው SSH ወደ *.pinggy.io ከገንቢ ወይም ከCI ማሽን።
የታየ ባህሪ እና አመጣጥ
ሁለቱ ፓኬጆች ደራሲ እና ዘዴን ይጋራሉ፤ የታመነ መሣሪያ ስም፣ የዊንዶውስ ብቻ መከላከያ፣ በስህተት የተገደበ የጀርባ አፈፃፀም እና በታዋቂ መሳሪያዎች ላይ መታመን ስለዚህ ፈጣን እይታ ታዋቂ የሆኑ ዩአርኤሎችን ብቻ ያሳያል። ምንጩ ከደህንነት ጋር የተያያዙ ባንዲራዎችን በግልጽ የሚገልጹ የቻይና ቋንቋ አስተያየቶችን ይዟል፤ እነዚህን በፋይሉ ውስጥ የሚታዩ መግለጫዎች አድርገን እንዘግባቸዋለን፣ ስለ ዓላማ የይገባኛል ጥያቄ ሳይሆን። allow_origin እሴት እና ሀ colab.bat የፋይል ስሙ ለGoogle Colab የሚሰራጨውን መደበኛ ያልሆነ “የአካባቢዬን የስራ ጊዜ አጋራ” የስራ ፍሰቶችን ያስተጋባል። መነሻው ምንም ይሁን ምን፣ የታሸገው ውጤት አንድ ነው።
ለተሟጋቾች ተጽእኖ እና መመሪያ
ለ FauxUV የተጋለጠው ማነው? የዊንዶውስ ገንቢዎች እና የሲአይ ሯጮች ፒፕ መጫን ከእነዚህ ፓኬጆች ውስጥ አንዱ። የይለፍ ቃል የሌለው JupyterLab በርቷል 0.0.0.0 ወደቡ መድረስ ለሚችል ማንኛውም ሰው የርቀት ኮድ አፈፃፀም ነው፤ ዋሻው “ማን ሊደርስበት ይችላል” የሚለውን ገደብ ያስወግዳል። አገልጋዩ እንደ መጫኛ ተጠቃሚ ሆኖ ይሰራል፣ የተጠቃሚውን ፋይሎች፣ ቶከኖች እና የደመና ምስክርነቶች ይወርሳል።
ለምን በቀላሉ ማጣት ቀላል ነው። እያንዳንዱ የአውታረ መረብ ሕብረቁምፊ ወደ አንድ ታዋቂ አስተናጋጅ ይጠቁማል — Astral፣ JupyterLab፣ ደመናማ, ፒንግጊ፣ ኮላብ። ለሃሽ ምንም አይነት የማልዌር ባይነሪ እና ዲኮድ ለማድረግ የተደበቀ ብሎብ የለም። በዝና እና በፊርማ ላይ የተመሰረተ ቅኝት ይህንን ዝቅ ያደርገዋል፣ ለዚህም ነው የባህሪ ጥያቄው — ይህንን ፓኬጅ መጫን ማሽኑን ምን ያደርገዋል? - የሚይዘው እሱ ነው።
መመሪያ-
- ማንኛውንም የመጫኛ ጊዜ ያስተናግዱ ፓወርሼል -የአፈጻጸም ፖሊሲ ማለፊያ እንደ ግንባታ-ሰበር ምልክት፣ የሚያመጣው ማንኛውም ዩአርኤል።
- ማንቂያ በርቷል ጁፒተር ባዶ ቶከን ተጀምሯል እና –ip=0.0.0.0፤ ያ ጥምረት በጣቢያ ወይም ሯጭ ላይ በጭራሽ መታየት የለበትም።
- ከኤስኤስኤች ወደ ዋሻ የሚሄዱ አቅራቢዎችን መከታተል (*.pinggy.io, *.trycloudflare.com) ከገንቢ እና ከCI አካባቢዎች።
- ጫን uv ከ [ኦፊሴላዊ ምንጩ](https://docs.astral.sh/uv/) እና ለመጫን ቀላል ያልሆነ መሳሪያን የሚሸፍኑ የሶስተኛ ወገን “ረዳት” ፓኬጆችን በተመለከተ ጥርጣሬ ይኑርዎት።
- በማሻሻል ላይ ያሉ ጥገኝነቶችን ይሰኩ እና እንደገና ይገምግሙ - የጥቅል መስመር አዲስ የብቃት ስሪት-ከስሪት በላይ ሊያሳድግ ይችላል።
