TL, DR
Koox baakado PyPI ah ayaa magaca soo qaadatay uv, maamulaha xirmooyinka Python ee ku salaysan Rust oo si dhakhso ah oo aad loo jecel yahay, si uu u muujiyo inay yihiin caawiyeyaal UV ah. Ma keenaan wax shaqo dhab ah. Waxa ay sitaan waa culays Windows ah oo taagan Server-ka JupyterLab oo leh xaqiijinta oo dansan iyo, noocyada dambe, waxay ku daabacaan internetka dadweynaha iyada oo loo marayo tunnel rogan.
Taasi waa sheekada oo dhan hal sadar: Magaca qalab lagu kalsoon yahay oo ah soo jiidashada, iyo JupyterLab oo ah mashiinka fulinta koodka fog. Server-ka Jupyter wuxuu ku shaqeeyaa kood kasta oo aad ku qorto 'not'ebook unug; mid lagu bilaabay calaamad madhan oo ku xiran shabakad kasta waa turjumaan furan oo qof kasta oo gaari kara dekedda uu gaari karo.
Waxaan la soconaa kooxda sida FauxUVLabada xirmo ee la baaray waa moon-uv (0.0.1-0.0.16) iyo my-magic-uv-helper (0.0.1), oo ay daabacday isla hawl-wadeenka oo si toos ah ugu socda PyPI wakhtiga falanqaynta.
| deegaanka | PyPI |
| Baakado | moon-uv (0.0.1-0.0.16), my-magic-uv-helper (0.0.1) |
| Madal la bartilmaameedsaday | Windows |
| Dhaqanka asaasiga ah | Server-ka JupyterLab ee aan la aqoonsanayn, ayaa lagu daabacay internetka iyada oo loo marayo tunnel rogan |
| Qalab sharci ah oo si xun loo isticmaalay | uv, JupyterLab, daruuro-cad, Pinggy |
Soo jiidashada: magac aad hore u aaminsanayd
uv waa mid ka mid ah aaladaha Python ee ugu rakiban labadii sano ee la soo dhaafay, sidaa darteed "caawiyaha loogu talagalay uv"waa xirmo uu horumariye rakibo isagoon dib u fikirin. FauxUV waxay si buuxda u isticmaashaa sumcaddeeda magacaas. Xirmooyinka waxay ku duuban yihiin dhab ah uv rakibe ka socda Astral — URL-yada ku jira barta culayska ee martigeliyeyaasha dhabta ah, sumcadda leh — markaa si dhakhso ah u eeg wax aan ahayn tixraacyo lagu kalsoonaan karo. Mid ka mid ah xirmooyinka dhab ahaantii kuma daraan. uv shaqeynta; magacu waa qarinta oo dhan.
JupyterLab oo ah mashiinka RCE
Qeybta dhexe ee culeyska waa qalab bilow ah oo ka bilaabma JupyterLab iyadoo laga saaray dhammaan qalabkii ilaalin lahaa:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itCalan kastaa wuxuu ka saaraa ilaalin, qoraalka la dirayna xitaa wuu ku sharraxayaa (Shiinaha asalka ah): calaamadda madhan "wuxuu damiyaa erayga sirta ah iyo hubinta calaamadaha - qof walba wuu ku xidhi karaa." jupyter shaybaar waa IDE-cilmi-baaris oo sharci ah, laakiin ma ahaebook Unuggu wuxuu fuliyaa kood aan kala sooc lahayn qaab ahaan. Sidan ayaa loo habeeyay oo ku xidhan 0.0.0.0, waxay joojinaysaa inay noqoto IDE waxayna noqotaa qolof fog oo aan la xaqiijin oo ku taal martida - looma baahna binary malware gaar ah, kaliya qalab caadi ah ayaa tilmaamaya si khaldan.
Laba qaybood oo taageero ah ayaa ka dhigaya mid la gaari karo oo la soo celin karo:
- Kicin rakibid aamusan. Noocyada hore waxay ku shaqeeyaan PowerShell -Xafiiska Cilmi-baarista toos uga yimid dejinta.py on pip rakibid, gadaasha iyadoo khaladaad la xakameeyay sidaas howlfiican waxay u egtahay mid caadi ah. Noocyada dambe waxay u guuraan isla asalka ah pip-uv qalabka taliska - oo gebi ahaanba jooji socodsiinta otomaatiga ah ee waqtiga rakibidda.
- Tunnel dadweyne oo gadaal u jeeda. Server ayaa ku shaqeeya 0.0.0.0 wali waxaa gaari kara oo keliya martigeliyeyaasha u gudbi kara mashiinka. Module la isku daray ayaa furaya [Pinggy](https://pinggy.io/) SSH rogan tunnel kaas oo u gudbiya dekedda Jupyter ee maxalliga ah cinwaan dadweyne, isagoo meesha ka saaraya xadkaas. Qoraalka la diray wuxuu sidoo kale wataa — faallo laga bixiyay — waddo kale oo la adeegsanayo Cloudflare's daruuro leh iyo a netsh wakiil-deked ah oo ku socda Linode IP, isagoo diiwaangelinaya isla yoolkaas iyada oo loo marayo kaabayaasha kala duwan.
Isku soo wada duub: rakib xirmada, martigeliyaha Windows-kana wuxuu ku dambeynayaa inuu maamulo JupyterLab oo aan lahayn furaha sirta ah oo uu ku daabaco internetka furan.
Sidee FauxUV u horumartay
Noocyada FauxUV si dhakhso ah ayaa loo soo diray, barta kicinta lacagtana way ka gudubtay - taas oo xasuusinaysa in hal nooc oo calaamadaysan uu dhif u sheego sheekada oo dhan ee khadka baakadka.
Si gaar ah, nidaamka rakibidda otomaatiga ah wuxuu ahaa mid waqtigiisa la beddelay laga saaray noocyada dambe, kuwa karti badan leh — markaa iskaanka ayaa fure u ah wareegga nolosha oo keliya hooks waxay soo bandhigi doonaan muuqaallada cusub sida yar khatar, dhab ahaantii gadaal.
Tilmaamayaasha tanaasulka
Lagu xaqiijiyay akhrinta isha xirmada; dhibcaha ugu dambeeya ee la calaamadeeyay uga hadashay waxay ku jiraan faylasha laakiin ma fulin nooca la falanqeeyay. Tilmaamayaasha shabakadda waa la baabi'iyay.
Calaamadaha dhaqanka ee u qalma feejignaan, oo ka madax bannaan xarigyadan saxda ah: pip rakibid taas oo dhalata powershell -Policy Bypass Siyaasadda Fulinta; mid kasta jupyter isku darka bilowga calaamad =”” la –ip=0.0.0.0; iyo SSH oo ka baxaya *.pinggy.io laga bilaabo horumariye ama mashiin CI ah.
Dhaqanka la arkay iyo asalka
Labada xirmo waxay wadaagaan qoraa iyo hab: magaca qalab la aamini karo, daaqadaha oo keliya, fulinta asalka oo khaladaad la xakameeyey, iyo ku tiirsanaanta qalab sumcad leh si markaa si dhakhso ah loo eego oo keliya URL-yada sumcadda leh. Isha waxay si cad u sheegaysaa faallooyinka luqadda Shiinaha oo si cad u sharraxaya calamada amniga khuseeya; waxaan ku soo wargelineynaa kuwaas inay yihiin weedho la arki karo oo ku jira faylka, ee ma aha sheegasho ku saabsan ujeeddada. allow_origin qiimaha iyo a colab.bat Magaca faylka ayaa ku celcelinaya socodka aan rasmiga ahayn ee "la wadaag waqtigayga socodsiinta deegaanka" ee u wareegaya Google Colab. Asal ahaan, natiijada la duubay waa isku mid.
Saamaynta iyo hagitaanka difaacayaasha
Yaa la kulma FauxUV. horumariyayaasha Windows iyo orodyahannada CI ee pip rakibid Mid ka mid ah xirmooyinkan. JupyterLab oo aan lahayn erayga sirta ah oo ku yaal 0.0.0.0 waa fulinta koodka fog ee qof kasta oo gaari kara dekedda; godka ayaa ka saaraya xadka "yaa gaari kara". Server-ku wuxuu u shaqeeyaa sidii isticmaalaha rakibaya, isagoo dhaxlaya faylasha isticmaalaha, calaamadaha, iyo aqoonsiga daruuraha.
Sababta ay u fududahay in la seego. Xarig kasta oo shabakadeed wuxuu tilmaamayaa martigeliye sumcad leh — Astral, JupyterLab, daruuro leh, Pinggy, Colab. Ma jiro wax malware binary ah ilaa hash iyo wax qarsoon oo la fahmi karo. Sawir-qaadista sumcadda iyo saxiixa ku salaysan labaduba waxay hoos u dhigaan tan, waana sababta su'aasha dhaqanka - Maxay rakibidda xirmadan ka dhigaysaa mashiinka inuu sameeyo - waa kan qabta.
Tilmaanta:
- Ka fogow wakhti kasta oo rakibid ah powershell -Policy Bypass Siyaasadda Fulinta sida calaamad jebinta dhismaha, URL kasta oo ay soo qaadato.
- Digniintu way socotaa jupyter lagu bilaabay calaamad madhan iyo –ip=0.0.0.0; isku-darkaas waa inaanu waligiis ka soo muuqan goobta shaqada ama orod-wade.
- La socodka bixiyayaasha SSH-ka ee ka baxaya godka una socda marinnada (*.pinggy.io, *.trycloudflare.com) laga bilaabo horumariyayaasha iyo deegaannada CI.
- Ku rakib uv laga soo xigtay [ilaha rasmiga ah](https://docs.astral.sh/uv/) oo ka shaki xirmooyinka "caawiyayaasha" ee dhinac saddexaad oo duuban qalab horeba aan muhiim ahayn in la rakibo.
- Ku dheji oo dib u eeg ku tiirsanaanta casriyeynta - khadka xirmada ayaa kobcin kara kartida cusub ee nooca-ka-badan.
