这是一个创建于 1346 天前的主题，其中的信息可能已经有所发展或是发生改变。
 |
1
liuxu 2021-03-08 14:50:45 +08:00
"攻击者利用这种输入错误"，感情就是写错包，写成了别人的包了
|
 |
2
dreampuf 2021-03-08 14:52:02 +08:00  1
永远不缺李逵李鬼
github.com/utfave/cli ⚠️ github.com/urfave/cli github.com/siruspen/logrus ⚠️ github.com/sirupsen/logrus/ 其中 github.com/urfave/cli 会采集信息并发送到某云，并且存在后门的可能。我想看看怎么实现的后门，可惜已经被删除。刚想利用社工通过 https://sourcegraph.com/github.com/utfave/cli 看看缓存数据，第一次还能看到提交历史，一刷新，就 not found …… |
 |
3
janxin 2021-03-08 14:53:16 +08:00
正常的，其他很多带包管理的供应链侧攻击都是这么进行的
|
 |
4
siteshen 2021-03-08 15:10:47 +08:00 1
|
 |
5
Chenamy2017 2021-03-08 15:25:42 +08:00
学到了，厉害
|
 |
6
knightdf 2021-03-08 17:11:37 +08:00
这种原来 python 上就被玩了好多了，还有抢注包名的
|
 |
7
ji39 2021-03-08 17:11:58 +08:00
有意思，学习了
|
 |
8
yeqizhang 2021-03-08 17:48:05 +08:00
学到了。这两天刚刚交叉编译了个 go 的工具，我写 java 的...
|
 |
9
hronro 2021-03-08 20:10:22 +08:00
除了写错包名，攻击者去接手没人维护但又被广泛使用的包才更可怕的，之前 NPM 上就出现过类似的攻击。
所以这么看，Deno 的包管理机制 + 权限限制真的是很有必要的 |
Select Language