TL; DR
D'fhuair braisle de phacáistí PyPI an t-ainm seo ar iasacht uv, an bainisteoir pacáiste Python atá bunaithe ar Rust agus atá tapa agus thar a bheith coitianta, le ligean orthu gur cabhróirí uv iad. Ní sholáthraíonn siad beagnach aon fhíorfheidhmiúlacht. Is é atá acu ina ionad sin ná ualach Windows a sheasann suas Freastalaí JupyterLab agus an fíordheimhniú múchta agus, i leaganacha níos déanaí, foilsíonn sé é ar an idirlíon poiblí trí thollán droim ar ais.
Sin é an scéal ar fad i líne amháin: ainm uirlis iontaofa mar an mhealladh, agus JupyterLab mar an inneall forghníomhaithe cód iargúlta. Ritheann freastalaí Jupyter cibé cód a chlóscríobhann tú isteach i bhfreastalaí nach bhfuil.ebook cill; ceann amháin a sheoltar le comhartha folamh agus atá ceangailte le gach comhéadan líonra is ateangaire oscailte é ar féidir le duine ar bith a shroicheann an port a thiomáint.
Déanaimid rianú ar an gcnuasach mar BréigeUVIs iad an dá phacáiste a scrúdaíodh ná moon-uv (0.0.1 – 0.0.16) agus my-magic-uv-helper (0.0.1), foilsithe ag an oibreoir céanna agus beo ar PyPI tráth na hanailíse.
| Éiceachóras | PyPI |
| Pacáistí | moon-uv (0.0.1-0.0.16), my-magic-uv-helper (0.0.1) |
| Ardán spriocdhírithe | Windows |
| Iompar lárnach | Freastalaí JupyterLab neamhfhíordheimhnithe, foilsithe ar an idirlíon trí thollán droim ar ais |
| Uirlisí dlisteanacha mí-úsáidte | uv, JupyterLab, scamall-lasraithe, Pinggy |
An mealladh: ainm a bhfuil muinín agat as cheana féin
uv tá sé ar cheann de na huirlisí Python is mó suiteáilte le dhá bhliain anuas, mar sin “cúntóir do uv"Is pacáiste é a shuiteálann forbróir gan mhoill. Caitheann FauxUV a chreidiúnacht go hiomlán ar an ainm sin. Fillteann na pacáistí an fíor uv suiteálaí ó Astral — pointeálann na URLanna san ualach chuig óstach fíor, measúil — mar sin ní fheictear ach tagairtí iontaofa le breathnú go gasta. Ní chuireann aon cheann de na pacáistí leis i ndáiríre uv feidhmiúlacht; is é an t-ainm an bréagriocht iomlán.
JupyterLab mar inneall RCE
Is lainseálaí lárphointe an ualaigh a thosaíonn JupyterLab agus gach ráille cosanta bainte amach:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itBaintear cosaint de gach bratach, agus cuireann an script a seoladh nótaí orthu fiú (sa bhunleagan Sínis): an comhartha folamh "múchann sé seiceálacha pasfhocail agus comharthaí — is féidir le duine ar bith ceangal." saotharlann Iúpatar is IDE eolaíochta sonraí dlisteanach é, ach níebook Déanann cill cód treallach a fhorghníomhú de réir dearaidh. Cumraithe ar an mbealach seo agus ceangailte le 0.0.0.0, stopann sé de bheith ina IDE agus éiríonn sé ina bhlaosc cianda neamhúdaraithe ar an óstach — níl aon ghá le dénártha malware saincheaptha, ach uirlis phríomhshrutha atá dírithe sa treo mícheart.
Déanann dhá phíosa tacaíochta sin inrochtana agus in-athdhéanta:
- Spreagthóir suiteála ciúin. Ritheann leaganacha luatha PowerShell le Seachbhóthar Beartais Forghníomhaithe díreach ó thus.py on shuiteáil pip, sa chúlra agus earráidí faoi chois ionas pip cuma gnáth air. Bogann leaganacha níos déanaí an bunphrionsabal céanna isteach i pip-uv uirlis líne ordaithe — agus scaoil an uathrith ag am na suiteála go hiomlán.
- Tollán droim ar ais poiblí. Freastalaí ar siúl 0.0.0.0 níl sé fós inrochtana ach ag óstach ar féidir leo bealach a dhéanamh chuig an meaisín. Osclaíonn modúl pacáilte [Pinggy](https://pinggy.io/) Tollán droim ar ais SSH a sheolann an calafort Jupyter áitiúil ar aghaidh chuig seoladh poiblí, rud a bhaineann an teorainn sin. Tá cosán malartach sa script a sheoltar freisin — gan trácht — ag baint úsáide as Cloudflare. scamaill agus a netsh calafort-seachfhreastalaí chuig IP Linode, ag doiciméadú an sprioc chéanna trí bhonneagar difriúil.
Cuir le chéile: suiteáil an pacáiste, agus críochnaíonn óstach Windows ag rith JupyterLab gan phasfhocal agus á fhoilsiú ar an idirlíon oscailte.
Conas a d'athraigh FauxUV
Seoladh leaganacha FauxUV i ndiaidh a chéile go gasta, agus bhog pointe spreagtha an ualaigh trasna orthu - meabhrúchán nach n-insíonn leagan amháin bratach scéal iomlán líne phacáiste go hannamh.
Go háirithe, bhí an t-uathoibriú ag am na suiteála bhaint sna leaganacha níos déanaí, níos cumasaí — mar sin scanóir a bhfuil eochair ann ar an saolré amháin hooks dhéanfadh sé na heisiúintí níos nuaí a scóráil mar níos lú contúirteach, go díreach ar gcúl.
Táscairí comhréitigh
Deimhnithe trí fhoinse an phacáiste a léamh; críochphointí marcáilte Dúirt atá i láthair sna comhaid ach ní dhéantar iad a fhorghníomhú ag an leagan anailísithe. Tá táscairí líonra dífhanáilte.
Comharthaí iompraíochta ar fiú a bheith airdeallach orthu, neamhspleách ar na teaghráin chruinne seo: a shuiteáil pip a sceitheann powershell - Seachbhóthar Beartas Forghníomhaitheaon Iúpatar seoladh comhcheangal comhartha = "" le –ip=0.0.0.0agus SSH amach chuig *.pinggy.io ó fhorbróir nó ó mheaisín CI.
Iompar breathnaithe agus bunús
Roinneann an dá phacáiste údar agus modh: ainm uirlis iontaofa, geataíocht Windows amháin, forghníomhú cúlra a choscann earráidí, agus spleáchas ar uirlisí measúla ionas nach bhfeictear ach URLanna measúla le breathnú go tapa. Tá tráchtanna sa tSínis ag an bhfoinse a chuireann síos go soiléir ar na bratacha slándála; tuairiscímid iad sin mar ráitis inbhraite sa chomhad, ní mar éileamh faoi chúis. ceadaigh_bunús luach agus a comhoibriú.bat Macallaíonn ainm comhaid na sreafaí oibre neamhfhoirmiúla “comhroinn mo rith-am áitiúil” a scaiptear do Google Colab. Cibé bunús atá leis, is ionann an toradh pacáistithe.
Tionchar agus treoir do chosantóirí
Cé atá nochta do FauxUV. Forbróirí Windows agus reathaithe CI a shuiteáil pip ceann de na pacáistí seo. JupyterLab gan phasfhocal ar 0.0.0.0 is forghníomhú cód iargúlta é d’aon duine a fhéadann an port a bhaint amach; baintear an teorainn “cé a fhéadann é a bhaint amach” leis an tollán. Ritheann an freastalaí mar an úsáideoir suiteála, ag oidhreacht comhaid, comharthaí agus dintiúir scamall an úsáideora sin.
Cén fáth go bhfuil sé éasca é a chailleadh. Díríonn gach sreang líonra ar óstach dea-cháil — Astral, JupyterLab, scamaill, Pinggy, Colab. Níl aon dénártha malware le haiseadh agus níl aon bhlob doiléir le díchódú. Cuireann scanadh bunaithe ar chlú agus ar shíniú an iomarca meáchain air seo, agus is é sin an fáth go bhfuil an cheist iompraíochta — cad a dhéanann an meaisín nuair a shuiteáiltear an pacáiste seo — is é an té a ghabhann é.
Treoir:
- Déileáil le haon am suiteála powershell - Seachbhóthar Beartas Forghníomhaithe mar chomhartha briseadh tógála, cibé URL a fhaigheann sé.
- Foláireamh ar Iúpatar seoladh le comhartha folamh agus –ip=0.0.0.0níor cheart go mbeadh an teaglaim sin le feiceáil ar stáisiún oibre ná ar rithire choíche.
- Monatóireacht a dhéanamh ar SSH amach chuig soláthraithe tolláin (*.pinggy.io, *.trycloudflare.com) ó thimpeallachtaí forbróra agus CI.
- shuiteáil uv ón [foinse oifigiúil](https://docs.astral.sh/uv/) agus bí amhrasach faoi phacáistí “cúnta” tríú páirtí a chuireann uirlis atá simplí cheana féin a shuiteáil ar leataobh.
- Priontáil agus athbhreithnigh spleáchais le linn uasghrádaithe — is féidir le líne phacáiste cumais nua a fhás leagan thar leagan.
