TL، ڊاڪٽر
PyPI پيڪيجز جي هڪ ڪلسٽر جو نالو قرض ورتو uv، تيز، تمام گهڻو مشهور رسٽ تي ٻڌل پٿون پيڪيج مئنيجر، يو وي مددگار طور پيش ڪرڻ لاءِ. اهي تقريبن ڪا به حقيقي ڪارڪردگي نه ٿا موڪلين. ان جي بدران اهي هڪ ونڊوز پيل لوڊ کڻندا آهن جيڪو هڪ تصديق سان گڏ JupyterLab سرور بند ڪيو ويو آهي ۽، بعد جي نسخن ۾، ان کي هڪ ريورس سرنگ ذريعي عوامي انٽرنيٽ تي شايع ڪري ٿو.
اها سڄي ڪهاڻي هڪ ئي سٽ ۾ آهي: هڪ قابل اعتماد اوزار جو نالو لالچ طور، ۽ JupyterLab ريموٽ ڪوڊ ايگزيڪيوشن انجن طور. هڪ جپيٽر سرور جيڪو به ڪوڊ توهان ٽائيپ ڪندا آهيو ان کي هڪ نوٽ ۾ هلائي ٿو.ebook سيل؛ هڪ خالي ٽوڪن سان لانچ ڪيو ويو ۽ هر نيٽ ورڪ انٽرفيس سان ڳنڍيل هڪ کليل مترجم آهي جيڪو ڪو به ماڻهو جيڪو پورٽ تائين پهچي سگهي ٿو هلائي سگهي ٿو.
اسين ڪلسٽر کي هن طرح ٽريڪ ڪريون ٿا فاڪس يو وي. جانچيل ٻہ پيڪيج آهن moon-uv (0.0.1-0.0.16) ۽ my-magic-uv-helper (0.0.1)، ساڳئي آپريٽر پاران شايع ٿيل ۽ تجزيو جي وقت PyPI تي رهن ٿا.
| ماحولياتي نظام | پيئي |
| پيڪيجز | moon-uv (0.0.1-0.0.16) my-magic-uv-helper (0.0.1) |
| پليٽ فارم کي نشانو بڻايو ويو | ونڊوز |
| بنيادي رويو | غير تصديق ٿيل JupyterLab سرور، هڪ ريورس سرنگ ذريعي انٽرنيٽ تي شايع ٿيل |
| جائز اوزارن جو غلط استعمال | يو وي، جپيٽر ليب، ڪلائوڊ فليئرڊ، پنگي |
لالچ: هڪ اهڙو نالو جنهن تي توهان اڳ ۾ ئي ڀروسو ڪيو ٿا
uv گذريل ٻن سالن ۾ سڀ کان وڌيڪ انسٽال ٿيل پٿون ٽولز مان هڪ آهي، تنهن ڪري "هڪ مددگار لاءِ uv"هڪ اهڙو پيڪيج آهي جيڪو ڊولپر بغير ڪنهن سوچ ويچار جي انسٽال ڪري ٿو. FauxUV پنهنجي اعتبار کي مڪمل طور تي ان نالي تي خرچ ڪري ٿو. پيڪيجز ان کي ڍڪيندا آهن حقيقي uv Astral کان انسٽالر - حقيقي، معزز هوسٽ تي پيل لوڊ پوائنٽ ۾ URLs - تنهنڪري هڪ تڪڙي نظر قابل اعتماد حوالن کان سواءِ ڪجهه به نه ڏسي ٿي. ڪو به پيڪيج اصل ۾ شامل نه ڪندو آهي uv ڪارڪردگي؛ نالو سڄو نقاب آهي.
جپيٽر ليب آر سي اي انجن جي طور تي
پيل لوڊ جو مرڪز هڪ لانچر آهي جيڪو هر گارڊ ريل کي هٽائڻ سان JupyterLab شروع ڪري ٿو:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itهر جهنڊو هڪ تحفظ کي هٽائي ٿو، ۽ موڪليل اسڪرپٽ انهن کي (اصل چيني ۾) به بيان ڪري ٿو: خالي ٽوڪن "پاسورڊ ۽ ٽوڪن چيڪ بند ڪري ٿو - ڪو به ڳنڍي سگھي ٿو." jupyter ليبارٽري هڪ جائز ڊيٽا سائنس IDE آهي، پر نهebook سيل ڊيزائن ذريعي صوابديدي ڪوڊ تي عمل ڪري ٿو. هن طريقي سان ترتيب ڏنل ۽ پابند 0.0.0.0، اهو هڪ IDE ٿيڻ بند ڪري ٿو ۽ هوسٽ تي هڪ غير تصديق ٿيل ريموٽ شيل بڻجي ٿو - ڪنهن به ڪسٽم مالويئر بائنري جي ضرورت ناهي، صرف هڪ مين اسٽريم ٽول غلط طرف اشارو ڪيو آهي.
ٻہ مددگار ٽڪرا ان کي پهچ ۽ ورجائي سگهن ٿا:
- هڪ خاموش انسٽال ٽرگر. شروعاتي ورجن پاور شيل سان هلن ٿا - عملدرآمد پاليسي بائي پاس کان س straightو سيٽ اپ on pip انسٽال، پس منظر ۾ غلطين کي دٻايو ويو آهي تنهنڪري pip عام نظر اچي ٿو. بعد جا نسخا ساڳي پرائميٽو کي هڪ ۾ منتقل ڪن ٿا پائپ-يو وي ڪمانڊ لائن ٽول - ۽ انسٽال ٽائيم آٽو رن کي مڪمل طور تي ڇڏي ڏيو.
- هڪ عوامي ريورس سرنگ. هڪ سرور آن 0.0.0.0 اڃا تائين صرف انهن هوسٽن تائين رسائي آهي جيڪي مشين ڏانهن روٽ ڪري سگهن ٿا. هڪ بنڊل ماڊل هڪ [Pinggy]( کوليندو آهيhttps://pinggy.io/) SSH ريورس سرنگ جيڪا مقامي Jupyter پورٽ کي عوامي پتي ڏانهن اڳتي وڌائي ٿي، انهي حد کي هٽائي ٿي. موڪليل اسڪرپٽ پڻ ڪلائوڊ فليئر جي استعمال سان هڪ متبادل رستو - تبصرو ڪيو ويو - کڻي ٿو. ڪڪرن سان ڀريل ۽ هڪ نجيب هڪ لينوڊ IP ڏانهن پورٽ-پراڪسي، مختلف انفراسٽرڪچر ذريعي ساڳئي مقصد کي دستاويز ڪندي.
گڏ ڪريو: پيڪيج انسٽال ڪريو، ۽ هڪ ونڊوز هوسٽ هڪ پاسورڊ کان سواءِ JupyterLab هلائيندو ۽ ان کي کليل انٽرنيٽ تي شايع ڪندو.
FauxUV ڪيئن ترقي ڪئي
FauxUV جا ورجن تيزي سان موڪليا ويا، ۽ پيل لوڊ جو ٽرگر پوائنٽ انهن جي وچ ۾ منتقل ٿيو - هڪ ياد ڏياريندڙ ته هڪ پرچم ٿيل ورجن ڪڏهن ڪڏهن ئي پيڪيج لائن جي پوري ڪهاڻي ٻڌائي ٿو.
خاص طور تي، انسٽاليشن جو وقت خودڪار هلائڻ هو ڇڏيا بعد وارن نسخن ۾، وڌيڪ قابل - تنهنڪري هڪ اسڪينر صرف زندگي جي چڪر تي ٻڌل هو hooks نون رليزز کي هن طرح اسڪور ڪندو گهٽ خطرناڪ، بلڪل پوئتي.
سمجهوتي جا اشارا
پيڪيج جو ذريعو پڙهڻ سان تصديق ٿيل؛ آخري نقطا نشان لڳل آهن مشاهدو ڪيو فائلن ۾ موجود آهن پر تجزيو ٿيل ورزن پاران عمل ۾ نه آيا آهن. نيٽ ورڪ اشارا خراب ٿيل آهن.
رويي جا سگنل جيڪي خبردار ڪرڻ جي لائق آهن، انهن صحيح تارن کان آزاد: a pip انسٽال جيڪو پيدا ٿئي ٿو پاور شيل - ايگزيڪيوشن پاليسي بائي پاس؛ ڪو به جپيٽر لانچ ڪمبائننگ ٽوڪن = "" سان - آئي پي = 0.0.0.0؛ ۽ آئوٽ بائونڊ SSH ڏانهن *.پنگي.آئو ڊولپر يا سي آءِ مشين کان.
مشاهدو ڪيل رويي ۽ اصل
ٻئي پيڪيجز هڪ ليکڪ ۽ هڪ طريقو شيئر ڪن ٿا: هڪ قابل اعتماد ٽول جو نالو، صرف ونڊوز گيٽنگ، غلطي کي دٻايو پس منظر جي عمل درآمد، ۽ معزز ٽولز تي ڀروسو، تنهنڪري هڪ تڪڙي نظر صرف معزز URLs کي ڏسي ٿي. ذريعو چيني ٻولي جي تبصرن کي رکي ٿو جيڪي سيڪيورٽي سان لاڳاپيل جهنڊن کي واضح طور تي بيان ڪن ٿا؛ اسان انهن کي فائل ۾ مشاهدو بيانن جي طور تي رپورٽ ڪريون ٿا، نه ته مقصد بابت دعويٰ جي طور تي. اجازت ڏيو_اصل قدر ۽ هڪ ڪولاب.بيٽ فائل جو نالو گوگل ڪولاب لاءِ گردش ڪندڙ غير رسمي "منهنجي مقامي رن ٽائم کي شيئر ڪريو" ورڪ فلوز جي گونج ڪري ٿو. اصل ڪجهه به هجي، پيڪيج ٿيل نتيجو ساڳيو آهي.
محافظن لاءِ اثر ۽ هدايت
جيڪو FauxUV جي سامهون آهي. ونڊوز ڊولپرز ۽ سي آءِ رنرز جيڪي pip انسٽال انهن پيڪيجز مان هڪ. هڪ پاسورڊ کان سواءِ JupyterLab تي 0.0.0.0 اهو ڪنهن به ماڻهو لاءِ ريموٽ ڪوڊ ايگزيڪيوشن آهي جيڪو پورٽ تائين پهچي سگهي ٿو؛ سرنگ "ڪير ان تائين پهچي سگهي ٿو" جي حد کي ختم ڪري ٿي. سرور انسٽال ڪندڙ صارف جي طور تي هلندو آهي، ان صارف جون فائلون، ٽوڪن، ۽ ڪلائوڊ سندون ورثي ۾ حاصل ڪندو آهي.
ڇو ته اهو وڃائڻ آسان آهي. هر نيٽ ورڪ اسٽرنگ هڪ معزز هوسٽ ڏانهن اشارو ڪري ٿو - Astral، JupyterLab، ڪڪرن سان ڀريل، پنگجي، ڪولاب. هيش لاءِ ڪو به مالويئر بائنري ناهي ۽ ڊيڪوڊ ڪرڻ لاءِ ڪو به مبهم بلاب ناهي. شهرت- ۽ دستخط تي ٻڌل اسڪيننگ ٻئي هن کان گهٽ وزن رکن ٿا، اهو ئي سبب آهي ته رويي جو سوال - هن پيڪيج کي انسٽال ڪرڻ سان مشين ڇا ڪندي آهي؟ - اهو آهي جيڪو ان کي پڪڙي ٿو.
ھدايت:
- ڪنهن به انسٽاليشن وقت جو خيال رکو پاور شيل - ايگزيڪيوشن پاليسي بائي پاس هڪ بلڊ بريڪنگ سگنل جي طور تي، جيڪو به URL اهو آڻيندو آهي.
- ٻيڙين تي جپيٽر هڪ خالي ٽوڪن سان لانچ ڪيو ويو ۽ - آئي پي = 0.0.0.0؛ اهو ميلاپ ڪڏهن به ورڪ اسٽيشن يا رنر تي ظاهر نه ٿيڻ گهرجي.
- سرنگ فراهم ڪندڙن کان ٻاهر نڪرندڙ SSH جي نگراني ڪريو (*.پنگي.آئو, *.ٽري ڪلائوڊ فليئر.ڪام) ڊولپر ۽ سي آءِ ماحول مان.
- انسٽال ڪريو uv [ان جي سرڪاري ذريعن] کان (https://docs.astral.sh/uv/) ۽ ٽئين پارٽي "مددگار" پيڪيجز تي شڪ ڪريو جيڪي هڪ اوزار کي لپيٽندا آهن جيڪو اڳ ۾ ئي انسٽال ڪرڻ لاءِ معمولي آهي.
- اپ گريڊ تي انحصار کي پن ڪريو ۽ ٻيهر جائزو وٺو - هڪ پيڪيج لائن نئين صلاحيت ورزن کان وڌيڪ ورزن کي وڌائي سگھي ٿي.
