טל; דר
א קלאסטער פון PyPI פּעקלעך האָט געבארגט דעם נאָמען פון uv, דער שנעלער, זייער פאפולערער ראַסט-באזירטער פּיטהאָן פּעקל פאַרוואַלטער, צו זיך אויסגעבן ווי UV העלפערס. זיי שיקן כּמעט קיין פאַקטישע פאַנגקשאַנאַליטי. וואָס זיי טראָגן אַנשטאָט איז אַ Windows פּיילאָוד וואָס שטייט אַרויף אַ דזשופּיטערלאַב סערווער מיט אויטענטיפֿיקאַציע אויסגעלאָשן און, אין שפּעטערע ווערסיעס, פאַרעפֿנטלעכט עס צום עפֿנטלעכן אינטערנעט דורך אַ פאַרקערטן טונעל.
דאָס איז די גאַנצע מעשה אין איין שורה: אַ באַגלייבטן געצייַג'ס נאָמען ווי די לאָק, און דזשופּיטערלאַב ווי די ווייַט-קאָד-עקסעקוטיאָן מאָטאָר. א דזשופּיטער סערווער לויפט יעדן קאָד וואָס איר טייפּט אין אַ נישטebook צעל; איינס וואָס ווערט לאָנטשט מיט אַ ליידיקן טאָקען און איז געבונדן צו יעדן נעץ צובינד איז אַן אָפענער אינטערפּרעטער וואָס ווער עס יז וואָס קען דערגרייכן דעם פּאָרט קען דרייווען.
מיר טראַקן דעם קלאַסטער ווי פאָקס-UVדי צוויי פּעקלעך וואָס זענען אויסגעפאָרשט געוואָרן זענען moon-uv (קסנומקס-קסנומקס) און my-magic-uv-helper (0.0.1), ארויסגעגעבן דורך דעם זעלבן אפעראטאר און לעבעדיג אויף PyPI אין דער צייט פון אנאליז.
| יקאָוסיסטאַם | פּפּי |
| פּאַקקאַגעס | moon-uv (קסנומקס-קסנומקס), my-magic-uv-helper (0.0.1) |
| פּלאַטפאָרמע טאַרגעטעד | פֿענצטער |
| קערן נאַטור | נישט-אויטענטיפיצירטער דזשופּיטערלאַב סערווער, ארויסגעגעבן צום אינטערנעט דורך א פארקערטן טונעל |
| לעגיטימע מכשירים מיסברויכט | uv, דזשופּיטערלאַב, קלאַודפלערד, פּינגי |
דער לאָק: אַ נאָמען וואָס איר שוין טראַסט
uv איז איינע פון די מערסט-אינסטאלירטע פּיטהאָן מכשירים פון די לעצטע צוויי יאָר, אַזוי "אַ העלפער פֿאַר uv"איז אַ פּעקל וואָס אַ דעוועלאָפּער אינסטאַלירט אָן אַ צווייטן געדאַנק. FauxUV פֿאַרברענגט זײַן קרעדיביליטעט גאָר אויף דעם נאָמען. די פּעקלעך פֿאַרפּאַקן דעם עכט uv אינסטאלער פון אסטראל — די URL'ס אין די פּיילאָוד ווײַזן אויף עכטע, רעספּעקטירטע האָסטס — אַזוי אַ שנעלער בליק זעט גאָרנישט נאָר פֿאַרלעסלעכע רעפֿערענצן. קיינער פֿון די פּאַקאַדזשאַז לייגט נישט טאַקע צו uv פונקציאָנאַליטעט; דער נאָמען איז די גאַנצע פאַרשטעלונג.
דזשופּיטערלאַב ווי דער RCE מאָטאָר
דער צענטער פונעם פּיילאָוד איז אַ לאָנטשער וואָס הייבט אָן דזשופּיטערלאַב מיט יעדן גאַרדרייל אַוועקגענומען:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itיעדע פאָן נעמט אַוועק אַ שוץ, און די געשיקטע שריפט אפילו אַנאָטירט זיי (אין דער אָריגינעלער כינעזישער): דער ליידיקער טאָקען "לעשט אויס פּאַראָל און טאָקען טשעקס — יעדער קען זיך פֿאַרבינדן." דזשופּיטער לאַב איז אַ לעגיטימע דאַטן-וויסנשאַפט IDE, אָבער אַ נישטebook צעל עקסעקוטירט אַרביטרער קאָד לויטן פּלאַן. קאָנפיגורירט אויף דעם וועג און געבונדן צו 0.0.0.0, עס הערט אויף צו זיין אן IDE און ווערט אן אומאויטענטיפיצירטע ווייטערע שאָל אויפן האָסט — קיין אייגענעם מאַלוואַרע ביינערי איז נישט נויטיק, נאָר א הויפּטשטראָם געצייַג וואָס איז געוויזן אין דער אומרעכטער ריכטונג.
צוויי שטיצנדיקע שטיקלעך מאַכן דאָס דערגרייכבאַר און איבערחזרבאַר:
- א שטילער אינסטאַל טריגער. פריערדיגע ווערסיעס לויפן PowerShell מיט -ExecutionPolicy Bypass גלייך פון setup.py on פּיפּ ינסטאַלירן, אין הינטערגרונט מיט טעותים אונטערדריקט אַזוי פּיפּ קוקט אויס נאָרמאַל. שפּעטערע ווערסיעס באַוועגן דעם זעלבן פּרימיטיוו אין אַ פּיפּ-יו קאָמאַנד-ליניע געצייַג — און אַראָפּנעמען דעם אינסטאַל-צייט אויטאָ-לויפֿן אינגאַנצן.
- אן עפנטלעכער אומגעקערטער טונעל. א סערווער אויף 0.0.0.0 איז נאך אלץ נאר דערגרייכבאר דורך האוסטס וואס קענען רוטן צום מאשין. א באנדלטער מאדול עפנט א [פינגי](https://pinggy.io/) SSH ריווערס טונעל וואס שיקט פאראויס דעם לאקאלן דזשופיטער פארט צו א פובליק אדרעס, און נעמט אוועק יענעם לימיט. דער געשיקטער סקריפט טראגט אויך — קאמענטירט ארויס — אן אלטערנאטיוון וועג ניצנדיג קלאודפלער'ס. וואָלקן-אויפֿגעפֿלאַמט און אַ netsh פּאָרט-פּראָקסי צו אַ לינאָדע IP, דאָקומענטירנדיק די זעלבע ציל דורך אַנדערע אינפראַסטרוקטור.
צוזאמענגעשטעלט: אינסטאלירט דעם פעקל, און א ווינדאוס האוסט ענדיגט מיטן לויפן א פאסווארטלאזע דזשופיטערלאב און עס ארויסגעבן אויפן אפענעם אינטערנעט.
ווי FauxUV האט זיך עוואַלוירט
FauxUV'ס ווערסיעס זענען געשיקט געוואָרן אין שנעלער סוקסעסיע, און דער טריגער-פונקט פון דער פּיילאָוד האָט זיך באַוועגט אַריבער זיי — אַ דערמאָנונג אַז איין געפֿאָנעקטע ווערסיע דערציילט זעלטן די גאַנצע געשיכטע פֿון אַ פּאַקעט ליניע.
באַמערקעוודיק, די אינסטאַלאַציע-צייט אויטאָ-לויפֿן איז געווען אַוועקגענומען אין די שפּעטערע, מער קאָמפּעטענטע ווערסיעס — אַזוי אַ סקאַנער וואָס איז נאָר געקנעפּט אויף לעבן-ציקל hooks וואָלט סקאָרן די נייַערע ריליסיז ווי ווייניקער ריזיקאַליש, פּונקט פֿאַרקערט.
אינדיקאַטאָרן פון קאָמפּראָמיס
באַשטעטיקט דורך לייענען די פּעקל מקור; ענדפּונקטן געמאַרקט קאַמענטאַד זענען פאראן אין די טעקעס אבער נישט אויסגעפירט דורך דער אנאליזירטער ווערסיע. נעץ אינדיקאטארן זענען דעפענגירט.
נאַטור-סיגנאַלן אויף וועלכע עס איז ווערט צו אַלערטירן, אומאָפּהענגיק פֿון די גענויע סטרינגס: א. פּיפּ ינסטאַלירן וואָס שפּראָצט פּאַוערשעל - עקסעקוטיאָן פּאָליטיק בייפּאַס; יעדער דזשופּיטער לאָנטש קאַמביינינג טאָקען = "" מיט –ip=0.0.0.0; און ארויסגייענדיקע SSH צו *.פינגגי.יאָ פֿון אַ דעוועלאָפּער אָדער CI מאַשין.
באמערקטע אויפפירונג און אָפּשטאַם
די צוויי פּעקלעך טיילן זיך אן מחבר און א מעטאָד: א נאמען פון א פארטרויענסווערטן געצייג, נאר-ווינדאָוס גייטינג, טעות-אונטערדריקטע הינטערגרונט אויספירונג, און פארלאז אויף באַוואוסטע געצייגן, אזוי אז א שנעלער בליק זעט נאר באַוואוסטע URL'ס. די מקור-פונקט טראגט כינעזיש-שפראכיגע באמערקונגען וואס באשרייבן די זיכערהייט-באטרעפנדע פלעגן קלאר; מיר באריכטן די אלס באמערקבארע סטעיטמענטס אין דער טעקע, נישט אלס א טענה וועגן מאטיוו. ערלויבן_אָריגין ווערט און א קאָלאַב.באַט טעקע נאָמען עקאָ די אינפאָרמעלע "שער מיין לאָקאַלע ראַנטיים" וואָרקפלאָוז וואָס צירקולירן פֿאַר גוגל קאָלאַב. וואָס אימער דער אָפּשטאַם, די פּאַקידזשד רעזולטאַט איז די זעלבע.
השפּעה און אנווייזונגען פֿאַר פֿאַרטיידיקער
ווער איז אויסגעשטעלט צו FauxUV. ווינדאָוס דעוועלאָפּערס און CI ראַנערז וואָס פּיפּ ינסטאַלירן איינע פון די דאזיגע פּעקלעך. א פּאַראָללאָזער דזשופּיטערלאַב אויף 0.0.0.0 איז ווייטערע קאוד אויספירונג פאר ווער עס קען דערגרייכן דעם פארט; דער טונעל נעמט אוועק די "ווער קען עס דערגרייכן" לימיט. דער סערווער לויפט ווי דער אינסטאלירנדיקער באניצער, ירשענדיג יענעם באניצער'ס טעקעס, טאוקענס, און וואלקן קרעדענשעלס.
פארוואס עס איז גרינג צו פארפאסן. יעדע נעץ שטריקל ווייזט אויף א רעספּעקטאַבלן האָסט — אַסטראַל, דזשופּיטערלאַב, וואָלקן-אויפֿגעפֿלאַמט, פינגגי, קאָלאַב. עס איז נישטאָ קיין מאַלוואַרע ביינערי צו העש און קיין פֿאַרשוואַרצטע בלאָב צו דעקאָדירן. רעפּוטאַציע- און חתימה-באַזירטע סקאַנינג ביידע אונטערוואָגן דאָס, וואָס איז פאַרוואָס די נאַטור-פֿראַגע — וואָס טוט דער מאַשין טאָן ווען מען אינסטאַלירט דעם פּעקל — איז דער וואָס כאַפּט עס.
פירער:
- באַהאַנדלען יעדע אינסטאַלאַציע-צייט פּאַוערשעל - עקסעקוטיאָן פּאָליטיק בייפּאַס אלס א בילד-ברעכנדיקער סיגנאל, וועלכע URL עס ברענגט.
- Alert on דזשופּיטער לאָנטשט מיט אַ ליידיקן טאָקען און –ip=0.0.0.0; יענע קאָמבינאַציע זאָל קיינמאָל נישט דערשייַנען אויף אַ וואָרקסטיישאַן אָדער ראַנער.
- מאָניטאָר פֿאַר אַוטגאָוינג SSH צו טונעל פּראַוויידערז (*.פינגגי.יאָ, *.trycloudflare.com) פון דעוועלאָפּער און CI סביבות.
- ינסטאַלירן uv פֿון [זײַן אָפֿיציעלע מקור](https://docs.astral.sh/uv/) און זייט סקעפּטיש צו דריט-פּאַרטיי "העלפער" פּאַקאַדזשאַז וואָס פּאַקן אַ געצייַג וואָס איז שוין טריוויאַל צו ינסטאַלירן.
- פינקלען און איבערקוקן די אפהענגיקייטן ביים אפגרעיד — א פעקל ליניע קען וואקסן נייע מעגלעכקייטן ווערסיע-איבער-ווערסיע.
