Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В каталоге PyPI выявлены вредоносные библиотеки, использующие CDN PyPI для скрытия канала связи , opennews (?), 20-Ноя-21, (0) [смотреть все] с ребятами в масках Гая Фокса шутки плохи, 918 (?), 10:04 , 20-Ноя-21, (1) +2 // С серьёзными ребятами в масках-балаклавах шутки ещё более плохи , Аноним (15), 13:13 , 20-Ноя-21, (15) +2 // Это одни и те же люди, Анонимъ (?), 13:35 , 20-Ноя-21, (25) –1 Будто они не анонимусы для обычных людей , псевдонимус (?), 13:37 , 20-Ноя-21, (26) Неужели телеграм ещё не поработал над созданием предлога для их запрета в РФ , Аноним (3), 10:13 , 20-Ноя-21, (3) –3 // В итоге Павлик Мо WДуров с товарищем майором подружился, у нас теперь демократия, Аноним (18), 13:22 , 20-Ноя-21, (18) // Андрей Юрьевич, если у вас так и не получилось что-то заблокировать, то не надо , Урри (ok), 13:38 , 20-Ноя-21, (27) –3 // Вообще, случай с линкед очень показательный бессмысленная блокировка и наглое н, tty0 (?), 21:22 , 20-Ноя-21, (70) +2 А какой закон нарушила LinkedIn , Аноним (74), 22:06 , 20-Ноя-21, (74) 152 ФЗ по которому личные данные российских пользователей должны храниться на се, Аноним (76), 23:15 , 20-Ноя-21, (76) +2 Российские законы в интернете не действуют Де-факто, интернет - это суверенная , Аноним (18), 00:18 , 21-Ноя-21, (79) –3 тогда чего вы жалуетесь на действия российских чиновников с инетом идите и жалу, 1111 (??), 05:41 , 21-Ноя-21, (85) +4 Потому что частная собственность должна быть неприкосновенна На каком основании, Аноним (18), 12:11 , 21-Ноя-21, (91) Частная собственность неприкосновенна в государстве не бывает Государственные и, Аноним (101), 18:28 , 21-Ноя-21, (101) Да нет, не захотят Ими владеют те же люди, которые определяют политический курс, Аноним (18), 09:53 , 22-Ноя-21, (113) Китайцам расскажи что в инете американские законы действуют, а не местные Сильн, Аноним (95), 14:52 , 21-Ноя-21, (95) А у китайцев не интернет, у них виннипухнет , Аноним (101), 18:29 , 21-Ноя-21, (103) Не получилось - это как раз линкедин, который вроде бы заблокирован, но все, к, Аноним (18), 00:15 , 21-Ноя-21, (78) Хотел принять участия в хакатоне, а там Присоединитесь к Телеграм-каналу Всё , Аноним (89), 11:52 , 21-Ноя-21, (89) +2 Я правильно понял вашу логику - если кто-то из администрации ходит срать в туале, Урри (ok), 19:24 , 21-Ноя-21, (105) +2 ФСБ этим не занимается, это работа ФСО , Аноним (18), 09:51 , 22-Ноя-21, (112) +1 Они никогда и не сорились Спроси у Усманова Совместный проект псевдопротеста , Аноним (-), 15:19 , 20-Ноя-21, (46) +5 Я даже рад Телеграм очень даже хороший и легковесный мессенджер Не останется в, Аноним (51), 16:37 , 20-Ноя-21, (51) Разве не изначально Разве это не при павлике в ВК всех пользователей, не привяз, Аноним (65), 18:03 , 20-Ноя-21, (65) +3 У Павла gram не взлетел Он теперь с кем угодно готов договорится за хорошую сум, Аноним (34), 14:20 , 20-Ноя-21, (34) // Да он всегда был хорошим бизнесменом Странно было бы отрицать, что его основные, Аноним (18), 00:23 , 21-Ноя-21, (80) // Ор, почему он тогда при основании Вконтакте оставил себе так мало акций А больш, Аноним (93), 12:34 , 21-Ноя-21, (93) Тебе на вк денег не дали, поэтому ты и не миллиардер , Аноним (101), 18:22 , 21-Ноя-21, (99) Имеется в в иду, что даже не смотря на то, что большая часть акций в вк не его, , Аноним (101), 18:25 , 21-Ноя-21, (100) Есть ещё один способ скрытия Изготавливается пакет С сорцами на гитхабе Легит, Аноним (3), 10:26 , 20-Ноя-21, (4) +12 // Звучит как история с уже имеющимся пакетом , Аноним (9), 11:12 , 20-Ноя-21, (9) +9 // Почему только с одним таким пакетом , tty0 (?), 21:24 , 20-Ноя-21, (71) +1 То же самое можно сказать про любой бинарник и средство сериализации Решается за, keydon (ok), 12:25 , 20-Ноя-21, (11) +2 // Не решается в принципе Корень проблемы в том, что мейнтейнеры некоторых пакетов, Аноним (15), 13:22 , 20-Ноя-21, (17) +1 // Привет snap , tty0 (?), 21:25 , 20-Ноя-21, (72) –1 И как снап решает проблему вредоносного ПО, встроенного в СПО создателем этого П, Аноним (89), 21:53 , 20-Ноя-21, (73) +1 снап ничего не решает, он добавляет ворох новых проблем, я (?), 10:36 , 26-Ноя-21, (128) Там вроде все серьёзные пользователи нейронок используют разной васяности блобы , Аноним (84), 05:12 , 21-Ноя-21, (84) +1 // Не все, а только пользователи pytorchа , Аноним (89), 09:41 , 21-Ноя-21, (86) Похоже, что кто-то получил награду в bug bounty , Аноним (3), 10:41 , 20-Ноя-21, (6) +3 // Только ссылка похожа на внутреннюю и разместил или кто-то из простых сотрудников, Аноним (59), 17:20 , 20-Ноя-21, (59) // Скорее всего, сами безопасники в рамках pentest-а и разместили , Аноним (127), 00:08 , 26-Ноя-21, (127) Красиво , Аноним (74), 11:09 , 20-Ноя-21, (8) +3 Ахах, очередная бочка дерьма в ложке мёда всяких пипи с нпмами Ничего, нормально, Онаним (?), 11:30 , 20-Ноя-21, (10) +1 // Это специфично для любого репозитория любого языка с загрузкой пакета без модера, keydon (ok), 12:35 , 20-Ноя-21, (13) // Именно Специфично для crowd shit intake , Онаним (?), 13:33 , 20-Ноя-21, (24) +1 // Тебе бы в психушку Так полыхать не нормально , Калонизация Луны (?), 21:17 , 21-Ноя-21, (108) –1 А че общественный дерьмозаборник в текущей ситуации очень подходящее звание , ммнюмнюмус (?), 19:29 , 05-Дек-21, (131) То-то я смотрю мой дебиан аж светится от количества золота , Урри (ok), 13:40 , 20-Ноя-21, (28) // Так дебиановцы и все прочие только собирают и адаптируют пакеты, они конечно , keydon (ok), 15:06 , 20-Ноя-21, (40) Я не дебиановец, но обычно перед установкой пакета я прогоняю bandit, который де, Аноним (43), 15:12 , 20-Ноя-21, (43) Часто что-то находится, Козлёнок по имени Антон (?), 03:22 , 21-Ноя-21, (83) Регулярно , Аноним (89), 09:42 , 21-Ноя-21, (87) Интересно, что ты там устанавливаешь, и куда ты денешься, когда без необходимого, Аноним (84), 18:28 , 21-Ноя-21, (102) Форкну , Аноним (101), 18:36 , 21-Ноя-21, (104) Ты по ходу забыл, что макаки умеют только тянуть пакеты в рот, форкать - это уже, Онаним (?), 00:56 , 24-Ноя-21, (125) гугли ночное золото , так всё на свои места приходит, я (?), 10:39 , 26-Ноя-21, (129) Если это первая ассоциация, которая пришла к вам в голову - то у меня для вас пл, Урри (ok), 20:39 , 26-Ноя-21, (130) Шутка о том, что 171 чтобы вирус попал на машину с Linux, нужно чтобы пользова, Аноним (14), 12:49 , 20-Ноя-21, (14) +7 // В данной новости не про вирусы Это зловредный код, но не вирус Т к не обладае, Аноним (19), 13:23 , 20-Ноя-21, (19) +2 // Смиритесь, в массовом сознании любой зловред называется вирус Трояны, руткиты,, Урри (ok), 13:44 , 20-Ноя-21, (29) // Тогда получается что в винде by default встроены вирусы, Аноним (31), 13:54 , 20-Ноя-21, (31) +2 По другому никогда и не было , нах.. (?), 14:17 , 20-Ноя-21, (33) +2 Винда версий NT 3 1 - Win2000 была еще без троянов Сама она ничего никуда не сл, Аноним (110), 08:59 , 22-Ноя-21, (110) +1 В те времена нормального рынка бигдаты не было , Аноним (18), 11:44 , 22-Ноя-21, (118) Делала Я ловил её на этом Что сливала --- не очень понятно ---- похоже было на, yet another anonymous (?), 15:53 , 22-Ноя-21, (122) Интересно, не помню Может это уже WinXP Просто хорошо помню, что еще Win2k мо, Аноним (110), 22:29 , 22-Ноя-21, (124) Добро пожаловать в клуб , Урри (ok), 14:43 , 20-Ноя-21, (36) +1 Просто там до этого додумались раньше чем в федоре, убунте или опенсюсе с их et, Аноним (-), 21:11 , 20-Ноя-21, (69) А чем пакеты не вирусы Выпускаешь пакет, его начинают использовать, рассказываю, Аноним (14), 15:07 , 20-Ноя-21, (41) +1 А во времени дискет как вирусы распространялись А я тебе расскажу Через дискет, Аноним (93), 12:39 , 21-Ноя-21, (94) // На столе лежит дискета У неё запорчен бут Через дырочку в конверте Её вирусы г, yet another anonymous (?), 22:17 , 22-Ноя-21, (123) Fastly не запрещают domain fronting Зайки какие , lockywolf (ok), 13:32 , 20-Ноя-21, (23) +2 Я на хрюникс перешёл, чтобы не качать программы откуда попало, кроме Хрума отрод, кек (?), 14:31 , 20-Ноя-21, (35) –1 // проприетарный хром сам за тебя всё скачает, нибаись, Аноним (38), 14:55 , 20-Ноя-21, (38) +2 // А я и нибаюсь, свабодная Мазила мне Хрум и порекомендовала, кек (?), 15:18 , 20-Ноя-21, (45) –1 А что ещё нужно, чудесный браузер сразу на твоём компе с помощью нейросеть обраб, Аноним (14), 15:37 , 20-Ноя-21, (47) +1 А в Go такое может быть , Аноним (74), 18:48 , 20-Ноя-21, (67) // ЛехкоВыполняешь командуgo get и тебе закачивается куча софта, о котором ты да, Аноним12345 (?), 15:03 , 22-Ноя-21, (119) Похоже, что кто-то опубликовал внутренний модуль наружу А через nda ya ru обора, Аноноша (?), 22:18 , 20-Ноя-21, (75) // скорее заведомо сломанный плохой клон внутреннего модуля, чтобы никто не загру, Аноним (81), 00:53 , 21-Ноя-21, (81) С base64 имя может оказаться некорректным же Видимо речь о base62 , Аноним (96), 15:20 , 21-Ноя-21, (96) yiffparty - название пакета интригует , pda (ok), 22:24 , 21-Ноя-21, (109) Объясните кто-нибудь, а как такая фича вообще может работать Это багофича конкре, Аноним (110), 09:01 , 22-Ноя-21, (111) +1   // Особенность архитектуры CDN и работы конкретных прокси-серверов Бесплатный Varni, Аноним (18), 11:39 , 22-Ноя-21, (116) +1   Я бы сказал это багофича типовой организации HTTP-over-SSL Когда SNI по факту ну, Онаним (?), 01:00 , 24-Ноя-21, (126)   Что теперь будет с пакетами, чьи сценарии ставят питон-пакеты с pypi O_o, ммнюмнюмус (?), 19:37 , 05-Дек-21, (132) 1,3,4,6,8,10,14,23,35,67,75,96,109,111,132

Сообщения

[Сортировка по времени | RSS]

111. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."	+1 +/–
Сообщение от Аноним (110), 22-Ноя-21, 09:01
Объясните кто-нибудь, а как такая фича вообще может работать? > Фактически запросы отправлялись на сервер pypi.python.org (в том числе, указывая имя python.org в SNI внутри запроса HTTPS), но при этом в HTTP-заголовок "Host" выставлялось имя сервера, подконтрольного атакующим (sec.forward.io.global.prod.fastly.net). Сеть доставки контента направляла подобный запрос на сервер атакующих, используя при передаче данных параметры TLS-соединения с pypi.python.org. Это багофича конкретной CDN или особенность http/https протокола вообще?
Ответить | Правка | Наверх | Cообщить модератору

	116. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."	+1 +/–
	Сообщение от Аноним (18), 22-Ноя-21, 11:39
	Особенность архитектуры CDN и работы конкретных прокси-серверов. Бесплатный Varnish (который, по идее, должен обрабатывать заголовки Host) не умеет в SSL, поэтому нужен фронтовый прокси, терминирующий SSL. На котором, очевидно, в заголовки HTTP просто не лезут (хотя могли бы, на каком-нибудь HAProxy сравнение с ssl_fc_sni делается тривиально).
	Ответить | Правка | Наверх | Cообщить модератору

	126. "В каталоге PyPI выявлены вредоносные библиотеки, использующи..."	+/–
	Сообщение от Онаним (?), 24-Ноя-21, 01:00
	Я бы сказал это багофича типовой организации HTTP-over-SSL. Когда SNI по факту нужен только для серта, а вся реальная обработка осуществляется уже по Host-хедеру.
	Ответить | Правка | К родителю #111 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема