បានគ្រប់គ្រងបណ្ណាល័យ PHP ចំនួន 14 នៅក្នុងឃ្លាំង Packagist

អ្នកគ្រប់គ្រងនៃឃ្លាំងកញ្ចប់ Packagist បានបង្ហាញព័ត៌មានលម្អិតនៃការវាយប្រហារដែលបានគ្រប់គ្រងគណនីរបស់អ្នកថែទាំបណ្ណាល័យ PHP ចំនួន 14 រួមទាំងកញ្ចប់ពេញនិយមដូចជា instantiator (526 លានការដំឡើងសរុប 8 លានការដំឡើងក្នុងមួយខែ 323 កញ្ចប់អាស្រ័យលើ) sql -formatter (ការដំឡើងសរុប 94M, 800K ក្នុងមួយខែ, 109 កញ្ចប់អាស្រ័យ), doctrine-cache-bundle (73M in total, 500K in a month, 348 dependent packages) និង rcode-detector-decoder (ការដំឡើងសរុប 20M, 400 ពាន់ក្នុងមួយខែ 66 កញ្ចប់អាស្រ័យ) ។

បន្ទាប់ពីគណនីត្រូវបានសម្របសម្រួល អ្នកវាយប្រហារបានកែប្រែឯកសារ composer.json ដោយបន្ថែមទៅក្នុងវាលពិពណ៌នាគម្រោងនូវព័ត៌មានដែលគាត់កំពុងស្វែងរកការងារដែលទាក់ទងនឹងសុវត្ថិភាពព័ត៌មាន។ ដើម្បីធ្វើការផ្លាស់ប្តូរទៅឯកសារ composer.json អ្នកវាយប្រហារបានជំនួស URLs នៃឃ្លាំងដើមជាមួយនឹងតំណភ្ជាប់ទៅកាន់ forks ដែលបានកែប្រែ (Packagist ផ្តល់តែទិន្នន័យមេតាជាមួយនឹងតំណភ្ជាប់ទៅកាន់គម្រោងដែលត្រូវបានបង្កើតឡើងនៅលើ GitHub នៅពេលដំឡើងជាមួយ "ការដំឡើងកម្មវិធីតែង" ឬ "ការធ្វើបច្ចុប្បន្នភាពកម្មវិធីតែង ” ពាក្យបញ្ជា កញ្ចប់ត្រូវបានទាញយកដោយផ្ទាល់ពី GitHub ) ។ ឧទាហរណ៍ សម្រាប់កញ្ចប់ acmephp ឃ្លាំងដែលបានភ្ជាប់ត្រូវបានផ្លាស់ប្តូរពី acmephp/acmephp ទៅ neskafe3v1/acmephp ។

ជាក់ស្តែង ការវាយប្រហារនេះត្រូវបានអនុវត្តមិនមែនដើម្បីធ្វើសកម្មភាពព្យាបាទនោះទេ ប៉ុន្តែជាការបង្ហាញពីភាពមិនអាចទទួលយកបាននៃអាកប្បកិរិយាដែលមិនចេះខ្វល់ខ្វាយចំពោះការប្រើប្រាស់ព័ត៌មានសម្ងាត់ស្ទួននៅលើគេហទំព័រផ្សេងៗគ្នា។ ក្នុងពេលជាមួយគ្នានេះ ផ្ទុយទៅនឹងការអនុវត្តដែលបានបង្កើតឡើងនៃ "ការលួចចូលតាមក្រមសីលធម៌" អ្នកវាយប្រហារមិនបានជូនដំណឹងដល់អ្នកបង្កើតបណ្ណាល័យ និងអ្នកគ្រប់គ្រងឃ្លាំងអំពីការពិសោធន៍ជាមុននោះទេ។ ក្រោយមក អ្នកវាយប្រហារបាននិយាយថា បន្ទាប់ពីគាត់អាចទទួលបានការងារមួយ គាត់នឹងផ្សព្វផ្សាយរបាយការណ៍លម្អិតអំពីវិធីសាស្រ្តដែលប្រើក្នុងការវាយប្រហារ។

យោងតាមព័ត៌មានដែលចេញផ្សាយដោយអ្នកគ្រប់គ្រង Packagist គណនីទាំងអស់ដែលគ្រប់គ្រងកញ្ចប់ដែលត្រូវបានសម្របសម្រួលបានប្រើពាក្យសម្ងាត់ដែលងាយស្រួលប្រើដោយបង្ខំដោយមិនបើកការផ្ទៀងផ្ទាត់ពីរកត្តា។ វាត្រូវបានចោទប្រកាន់ថាគណនីដែលត្រូវបានគេលួចចូលបានប្រើពាក្យសម្ងាត់ដែលត្រូវបានប្រើមិនត្រឹមតែនៅក្នុង Packagist ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងនៅក្នុងសេវាកម្មផ្សេងទៀតដែលមូលដ្ឋានទិន្នន័យពាក្យសម្ងាត់របស់ពួកគេត្រូវបានសម្របសម្រួលពីមុន និងត្រូវបានផ្សព្វផ្សាយជាសាធារណៈ។ ការចាប់យកអ៊ីមែលរបស់អ្នកកាន់គណនីដែលត្រូវបានភ្ជាប់ទៅដែនដែលផុតកំណត់ក៏អាចត្រូវបានប្រើជាជម្រើសដើម្បីទទួលបានសិទ្ធិចូលប្រើផងដែរ។

កញ្ចប់ដែលត្រូវបានសម្របសម្រួល៖

• acmephp/acmephp (124,860 ដំឡើងពេញមួយជីវិតនៃកញ្ចប់)
• acmephp/core(419,258)
• acmephp/ssl (531,692)
• គោលលទ្ធិ/doctrine-cache-bundle (73,490,057)
• គោលលទ្ធិ/គោលលទ្ធិ-ម៉ូឌុល (5,516,721)
• គោលលទ្ធិ/doctrine-mongo-odm-module(516,441)
• គោលលទ្ធិ/doctrine-orm-module (5,103,306)
• គោលលទ្ធិ/អ្នកបញ្ជា (526,809,061)
• សៀវភៅលូតលាស់/សៀវភៅលូតលាស់ (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

ប្រភព: opennet.ru