Blog2017-09-16PyPIには悪意のあるソフトウェアが登録されているPythonいわゆるtyposquatting案件です。NBUPytosquattingまずやばさを感じる一例を。PyPIにはurllib3というサードパーティ製のHTTPクライアントがある。urllib)されていたことが確認された。urllibのような形で、pipからの打ち間違えを狙っている(これをtyposquatting攻撃という)。2017.9の間に、これらのパッケージがダウンロードされ、他のソフトに組み込まれてていたことも確認されている。したパッケージは、urllib3を標的にしたもの以外にも存在が確認されている。urllib3)これらのパッケージは元のパッケージと同等の機能を有するが、setup.pyに悪意のあるコードが仕込まれている。現在発覚しているsetup.pyの悪意のあるコードは、比較的無害である。実行されると、以下の情報をHTTPリクエストを介してhttp://121.42.217.44:8080/というリモートサーバーに送るだけである。testmachineといったもので、base64エンコードとハードコードされたパスワードでXOR暗号化がかけられている。サーバーアドレスとポートも同様に難読化されていた。3.xに適合しておらず、インストールに失敗したという例はネット上で何度も報告されてきた。報告者が知る限りでは、現在セキュリティ上のインシデントは確認されていない。本攻撃はシステム管理者や開発者の不注意に依存する。pipがパッケージのインストール中に暗号署名を必要とせず、任意のコードを実行できてしまうのもよくない。PyPIは誰でも簡単にパッケージを登録できてしまい、品質保証やコードレビューが存在しないというのも一因である。これらのパッケージについて報告者はPyPI管理者に報告を行い、速やかに削除されいる。[package]で削除する。直接ディレクトリを削除する手もある。pipが汚染されている可能性もなきにしもあらずなので、この方がより安全である。安全なPython開発を心がけるネットからインストールするものなので注意しよう。偽パッケージに依存していた他のソースコード機能は同じなので変更する必要はないようだ。記事をqiitaに転載しました。»プロフィールコメントは常に歓迎します。`ssize_t`とは何か2018-04-01【読んだもの】Pythonは逐一解釈されるのか、それともコンパイルされるのか?(答えはどちらも)イエスだ。(6)はてなブログをはじめよう!cofreeさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。