TL; DR
Fhuair cruinneachadh de phasganan PyPI ainm air iasad uv, am manaidsear pacaid Python stèidhichte air Rust, a tha luath is mòr-chòrdte, gus a bhith nan luchd-cuideachaidh uv. Cha mhòr nach eil iad a’ lìbhrigeadh fìor ghnìomhachd sam bith. Is e na tha iad a’ giùlan na àite luchd Windows a sheasas suas Frithealaiche JupyterLab leis an dearbhadh dheth agus, ann an dreachan nas fhaide air adhart, ga fhoillseachadh don eadar-lìon poblach tro thunail cùil.
Sin an sgeul gu lèir ann an aon loidhne: ainm inneil earbsach mar an tàladh, agus JupyterLab mar an einnsean cur an gnìomh còd iomallach. Bidh frithealaiche Jupyter a’ ruith ge bith dè an còd a chuireas tu a-steach do phrògram nach eil.ebook cealla; fear a thèid a chur air bhog le comharra falamh agus a tha ceangailte ri gach eadar-aghaidh lìonraidh 's e eadar-theangair fosgailte a th' ann as urrainn do dhuine sam bith a ruigeas am port a dhràibheadh.
Bidh sinn a’ leantainn a’ chnuasaich mar FauxUVIs iad an dà phacaid a chaidh a sgrùdadh moon-uv (0.0.1 – 0.0.16) agus my-magic-uv-helper (0.0.1), air fhoillseachadh leis an aon ghnìomhaiche agus beò air PyPI aig àm an anailis.
| Ceanglaichean taic | PyPI |
| pasgain | moon-uv (0.0.1 – 0.0.16), my-magic-uv-helper (0.0.1) |
| Àrd-ùrlar targaideach | Windows |
| Giùlan bunaiteach | Frithealaiche JupyterLab gun dearbhadh, air fhoillseachadh air an eadar-lìon tro thunail cùil |
| Innealan dligheach air an droch-chleachdadh | uv, JupyterLab, sgòthan-lasrach, Pinggy |
An tàladh: ainm anns a bheil earbsa agad mu thràth
uv 'S e seo aon de na h-innealan Python as motha a chaidh a stàladh anns an dà bhliadhna a dh'fhalbh, agus mar sin "na neach-cuideachaidh airson uv"’S e pasgan a stàlaicheas leasaiche gun dàil. Tha FauxUV a’ cosg a chreideas gu tur air an ainm sin. Bidh na pacaidean a’ pasgadh a’ fìor uv stàlaichear bho Astral — tha na URLan anns a’ phrògraim pàighidh a’ comharrachadh luchd-aoigheachd fìor, cliùiteach — agus mar sin chan fhaic sùil luath ach iomraidhean earbsach. Chan eil gin de na pacaidean dha-rìribh a’ cur ris uv comas-gnìomh; is e an t-ainm an dìomhaireachd gu lèir.
JupyterLab mar an einnsean RCE
Is e prìomh phìos an luchd-luchd inneal-tòiseachaidh a thòisicheas JupyterLab leis a h-uile rèile-dìon air a thoirt air falbh:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itBidh gach bratach a’ toirt air falbh dìon, agus tha an sgriobt a chaidh a chuir a-mach eadhon gan cur an cèill (anns an t-Sìnis thùsail): an comharra falamh “a’ cur dheth sgrùdaidhean facal-faire is chomharran — faodaidh duine sam bith ceangal.” obair-lann jupyter 'S e IDE saidheans dàta dligheach a th' ann, ach chan eebook Bidh cealla a’ cur còd neo-riaghailteach an gnìomh le dealbhadh. Air a rèiteachadh san dòigh seo agus ceangailte ri 0.0.0.0, stadaidh e bho bhith na IDE agus bidh e na shlige iomallach neo-dhearbhte air an aothaiche — chan eil feum air binary malware gnàthaichte, dìreach inneal prìomh-shruthach air a chomharrachadh an rathad ceàrr.
Tha dà phìos taice ga dhèanamh ruigsinneach agus ath-aithris:
- Brosnaichear stàlaidh sàmhach. Bidh dreachan tràtha a’ ruith PowerShell le -Seachnadh Poileasaidh Cur an Gnìomh dìreach bho suidheachadh.py on stàladh pip, air a’ chùlaibh le mearachdan air an cumail fodha gus am bi pip a’ coimhead àbhaisteach. Bidh dreachan nas fhaide air adhart a’ gluasad an aon phrìomhaideach a-steach do pip-uv inneal loidhne-àithne — agus leig às an ruith fèin-ghluasadach aig àm an stàlaidh gu tur.
- Tunail poblach air ais. Frithealaiche air 0.0.0.0 chan eil e fhathast ruigsinneach ach do luchd-aoigheachd as urrainn slighe a dhèanamh chun inneal. Bidh modúl pacaichte a’ fosgladh [Pinggy](https://pinggy.io/) Tunail cùil SSH a chuireas air adhart am port Jupyter ionadail gu seòladh poblach, a’ toirt air falbh a’ chrìoch sin. Tha slighe eile aig an sgriobt a chaidh a chuir a-mach cuideachd – air a thoirt a-mach à beachdan – a’ cleachdadh Cloudflare. sgòthan-lasrach agus lìn port-proxy gu IP Linode, a’ clàradh an aon amas tro bhun-structar eadar-dhealaichte.
Cuir ri chèile: stàlaich am pasgan, agus bidh aoigh Windows a’ ruith JupyterLab gun fhacal-faire agus ga fhoillseachadh air an eadar-lìon fosgailte.
Mar a dh’fhàs FauxUV
Chaidh dreachan FauxUV a chuir a-mach às dèidh a chèile gu luath, agus ghluais puing brosnachaidh an luchd thairis orra - cuimhneachan nach eil aon dreach le bratach ag innse sgeulachd iomlan loidhne pacaid.
Gu sònraichte, b’ e an ruith fèin-ghluasadach aig àm an stàlaidh a bh’ ann. air falbh anns na dreachan nas fhaide air adhart, nas comasaiche - mar sin sganair air a iuchair a-mhàin air cearcall-beatha hooks bhiodh e a’ sgòradh nan sgaoilidhean as ùire mar nas lugha cunnartach, dìreach air ais.
Comharran co-rèiteachaidh
Dearbhaichte le bhith a’ leughadh stòr a’ phacaid; puingean-crìochnachaidh air an comharrachadh thuirt tha iad anns na faidhlichean ach chan eil iad air an cur an gnìomh leis an dreach a chaidh a sgrùdadh. Tha comharran lìonra air an dì-fhilleadh.
Comharran giùlain air a bheil fhiach rabhadh a thoirt, neo-eisimeileach bho na sreangan mionaideach seo: a stàladh pip a bhios a’ sìolachadh powershell - Seachnadh Poileasaidh Cur an Gnìomh; sam bith Iupait cur air bhog cothlamadh comharra = "" le –ip=0.0.0.0; agus SSH a-mach gu *.pinggy.io bho leasaiche no inneal CI.
Giùlan agus tùs a chaidh fhaicinn
Tha ùghdar agus dòigh-obrach co-roinnte aig an dà phacaid: ainm inneil earbsach, geataichean Windows a-mhàin, cur an gnìomh cùl-fhiosrachaidh le casg air mearachdan, agus eisimeileachd air innealan cliùiteach agus mar sin chan fhaic sùil luath ach URLan cliùiteach. Tha beachdan ann an cànan na Sìonais aig an stòr a tha a’ toirt cunntas soilleir air na brataichean buntainneach do thèarainteachd; bidh sinn gan aithris mar aithrisean faicsinneach san fhaidhle, chan ann mar thagradh mu adhbhar. ceadaich_tùs luach agus a colab.bat Tha ainm faidhle a’ mac-talla nan sruthan-obrach neo-fhoirmeil “roinn an ùine ruith ionadail agam” a bhios a’ cuairteachadh airson Google Colab. Ge bith dè an tùs, tha an toradh pacaichte mar an ceudna.
Buaidh agus stiùireadh do luchd-dìon
Cò a tha fosgailte do FauxUV. Luchd-leasachaidh Windows agus luchd-ruith CI a tha stàladh pip aon de na pacaidean seo. JupyterLab gun fhacal-faire air 0.0.0.0 ’S e gnìomh còd iomallach a th’ ann airson neach sam bith as urrainn ruighinn air a’ phort; bheir an tunail air falbh a’ chrìoch “cò as urrainn ruighinn air”. Bidh am frithealaiche a’ ruith mar an neach-cleachdaidh stàlaidh, a’ sealbhachadh faidhlichean, comharran agus teisteanasan sgòthan an neach-cleachdaidh sin.
Carson a tha e furasta a chall. Tha gach sreang lìonra a’ comharrachadh aoigh cliùiteach — Astral, JupyterLab, sgòthan-lasrach, Pinggy, Colab. Chan eil binary malware ann airson hash agus chan eil blob doilleir ann airson a dhì-chòdachadh. Tha sganadh stèidhichte air cliù agus ainm-sgrìobhte le chèile a’ cur cus cuideam air seo, agus is e sin as coireach gu bheil a’ cheist giùlain — dè a nì an inneal nuair a stàlaicheas tu am pasgan seo — is esan a ghlacas e.
Stiùireadh:
- Làimhsich àm stàlaidh sam bith powershell - Seachnadh Poileasaidh Cur an Gnìomh mar chomharradh briseadh-togail, ge bith dè an URL a gheibh e.
- Rabhadh air Iupait air a chur air bhog le comharra falamh agus –ip=0.0.0.0cha bu chòir don cho-mheasgachadh sin nochdadh air stèisean-obrach no ruitheadair a-riamh.
- Sùil a chumail air SSH a-mach gu solaraichean tunail (*.pinggy.io, *.trycloudflare.com) bho àrainneachdan luchd-leasachaidh agus CI.
- Stàlaich uv bhon [stòr oifigeil aige](https://docs.astral.sh/uv/) agus bi teagmhach mu phasganan “cuideachaidh” treas-phàrtaidh a bhios a’ pasgadh inneal a tha mar-thà furasta a stàladh.
- Prìne agus ath-sgrùdaich eisimeileachdan nuair a thèid ùrachadh — faodaidh loidhne pacaid comasan ùra fhàs dreach thar dreach.
