OpenSSF (ಓಪನ್ ಸೋರ್ಸ್ ಸೆಕ್ಯುರಿಟಿ ಫೌಂಡೇಶನ್), ಲಿನಕ್ಸ್ ಫೌಂಡೇಶನ್‌ನಿಂದ ರಚಿಸಲ್ಪಟ್ಟಿದೆ ಮತ್ತು ಓಪನ್ ಸೋರ್ಸ್ ಸಾಫ್ಟ್‌ವೇರ್‌ನ ಸುರಕ್ಷತೆಯನ್ನು ಸುಧಾರಿಸುವ ಗುರಿಯನ್ನು ಹೊಂದಿದೆ, ಓಪನ್ ಪ್ರಾಜೆಕ್ಟ್ ಪ್ಯಾಕೇಜ್ ಅನಾಲಿಸಿಸ್ ಅನ್ನು ಪರಿಚಯಿಸಿತು, ಇದು ಪ್ಯಾಕೇಜ್‌ಗಳಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್‌ನ ಉಪಸ್ಥಿತಿಯನ್ನು ವಿಶ್ಲೇಷಿಸುವ ವ್ಯವಸ್ಥೆಯನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುತ್ತದೆ. ಯೋಜನೆಯ ಕೋಡ್ ಅನ್ನು Go ನಲ್ಲಿ ಬರೆಯಲಾಗಿದೆ ಮತ್ತು Apache 2.0 ಪರವಾನಗಿ ಅಡಿಯಲ್ಲಿ ವಿತರಿಸಲಾಗಿದೆ. ಪ್ರಸ್ತಾವಿತ ಪರಿಕರಗಳನ್ನು ಬಳಸಿಕೊಂಡು NPM ಮತ್ತು PyPI ರೆಪೊಸಿಟರಿಗಳ ಪ್ರಾಥಮಿಕ ಸ್ಕ್ಯಾನ್ 200 ಕ್ಕೂ ಹೆಚ್ಚು ಹಿಂದೆ ಪತ್ತೆಹಚ್ಚದ ದುರುದ್ದೇಶಪೂರಿತ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಗುರುತಿಸಲು ನಮಗೆ ಅವಕಾಶ ಮಾಡಿಕೊಟ್ಟಿತು.
ಗುರುತಿಸಲಾದ ಸಮಸ್ಯಾತ್ಮಕ ಪ್ಯಾಕೇಜುಗಳ ಬಹುಪಾಲು ಪ್ರಾಜೆಕ್ಟ್‌ಗಳ ಆಂತರಿಕ ಸಾರ್ವಜನಿಕವಲ್ಲದ ಅವಲಂಬನೆಗಳೊಂದಿಗೆ ಹೆಸರುಗಳ ಛೇದಕವನ್ನು ಕುಶಲತೆಯಿಂದ ನಿರ್ವಹಿಸುತ್ತವೆ (ಅವಲಂಬನೆ ಗೊಂದಲದ ದಾಳಿ) ಅಥವಾ ಟೈಪೋಸ್ಕ್ವಾಟಿಂಗ್ ವಿಧಾನಗಳನ್ನು ಬಳಸುತ್ತವೆ (ಜನಪ್ರಿಯ ಲೈಬ್ರರಿಗಳ ಹೆಸರನ್ನು ಹೋಲುವ ಹೆಸರುಗಳನ್ನು ನಿಯೋಜಿಸುವುದು), ಮತ್ತು ಬಾಹ್ಯ ಹೋಸ್ಟ್‌ಗಳನ್ನು ಪ್ರವೇಶಿಸುವ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ಸಹ ಕರೆಯುತ್ತವೆ. ಅನುಸ್ಥಾಪನ ಪ್ರಕ್ರಿಯೆ. ಪ್ಯಾಕೇಜ್ ವಿಶ್ಲೇಷಣೆಯ ಡೆವಲಪರ್‌ಗಳ ಪ್ರಕಾರ, ಗುರುತಿಸಲಾದ ಹೆಚ್ಚಿನ ಸಮಸ್ಯಾತ್ಮಕ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ಬಗ್ ಬೌಂಟಿ ಕಾರ್ಯಕ್ರಮಗಳಲ್ಲಿ ಭಾಗವಹಿಸುವ ಭದ್ರತಾ ಸಂಶೋಧಕರು ರಚಿಸಿದ್ದಾರೆ, ಏಕೆಂದರೆ ಕಳುಹಿಸಲಾದ ಡೇಟಾವು ಬಳಕೆದಾರ ಮತ್ತು ಸಿಸ್ಟಮ್ ಹೆಸರಿಗೆ ಸೀಮಿತವಾಗಿದೆ ಮತ್ತು ಕ್ರಿಯೆಗಳನ್ನು ಯಾವುದೇ ಪ್ರಯತ್ನಗಳಿಲ್ಲದೆ ಸ್ಪಷ್ಟವಾಗಿ ನಿರ್ವಹಿಸಲಾಗುತ್ತದೆ. ಅವರ ನಡವಳಿಕೆಯನ್ನು ಮರೆಮಾಡಿ.
ದುರುದ್ದೇಶಪೂರಿತ ಚಟುವಟಿಕೆಯೊಂದಿಗೆ ಪ್ಯಾಕೇಜ್‌ಗಳು ಸೇರಿವೆ:
- PyPI ಪ್ಯಾಕೇಜ್ discordcmd, ಇದು raw.githubusercontent.com, Discord API ಮತ್ತು ipinfo.io ಗೆ ವಿಲಕ್ಷಣ ವಿನಂತಿಗಳನ್ನು ಕಳುಹಿಸುವುದನ್ನು ದಾಖಲಿಸುತ್ತದೆ. ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಪ್ಯಾಕೇಜ್ GitHub ನಿಂದ ಬ್ಯಾಕ್‌ಡೋರ್ ಕೋಡ್ ಅನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದೆ ಮತ್ತು ಅದನ್ನು ಡಿಸ್ಕಾರ್ಡ್ ವಿಂಡೋಸ್ ಕ್ಲೈಂಟ್ ಡೈರೆಕ್ಟರಿಯಲ್ಲಿ ಸ್ಥಾಪಿಸಿದೆ, ನಂತರ ಅದು ಫೈಲ್ ಸಿಸ್ಟಮ್‌ನಲ್ಲಿ ಡಿಸ್ಕಾರ್ಡ್ ಟೋಕನ್‌ಗಳನ್ನು ಹುಡುಕುವ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಪ್ರಾರಂಭಿಸಿತು ಮತ್ತು ಆಕ್ರಮಣಕಾರರಿಂದ ನಿಯಂತ್ರಿಸಲ್ಪಡುವ ಬಾಹ್ಯ ಡಿಸ್ಕಾರ್ಡ್ ಸರ್ವರ್‌ಗೆ ಕಳುಹಿಸುತ್ತದೆ.
- colorss NPM ಪ್ಯಾಕೇಜ್ ಡಿಸ್ಕಾರ್ಡ್ ಖಾತೆಯಿಂದ ಬಾಹ್ಯ ಸರ್ವರ್‌ಗೆ ಟೋಕನ್‌ಗಳನ್ನು ಕಳುಹಿಸಲು ಪ್ರಯತ್ನಿಸಿದೆ.
- NPM ಪ್ಯಾಕೇಜ್ @roku-web-core/ajax - ಅನುಸ್ಥಾಪನಾ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಅದು ಸಿಸ್ಟಮ್ ಬಗ್ಗೆ ಡೇಟಾವನ್ನು ಕಳುಹಿಸಿತು ಮತ್ತು ಬಾಹ್ಯ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ವೀಕರಿಸುವ ಮತ್ತು ಆಜ್ಞೆಗಳನ್ನು ಪ್ರಾರಂಭಿಸುವ ಹ್ಯಾಂಡ್ಲರ್ (ರಿವರ್ಸ್ ಶೆಲ್) ಅನ್ನು ಪ್ರಾರಂಭಿಸಿತು.
- PyPI ಪ್ಯಾಕೇಜ್ secrevthXNUMX - ನಿರ್ದಿಷ್ಟ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಆಮದು ಮಾಡುವಾಗ ರಿವರ್ಸ್ ಶೆಲ್ ಅನ್ನು ಪ್ರಾರಂಭಿಸಿತು.
- NPM ಪ್ಯಾಕೇಜ್ ರ್ಯಾಂಡಮ್-ವೋಚರ್‌ಕೋಡ್-ಜನರೇಟರ್ - ಲೈಬ್ರರಿಯನ್ನು ಆಮದು ಮಾಡಿದ ನಂತರ, ಅದು ಬಾಹ್ಯ ಸರ್ವರ್‌ಗೆ ವಿನಂತಿಯನ್ನು ಕಳುಹಿಸಿತು, ಅದು ಆಜ್ಞೆಯನ್ನು ಮತ್ತು ಅದನ್ನು ಚಲಾಯಿಸಬೇಕಾದ ಸಮಯವನ್ನು ಹಿಂತಿರುಗಿಸುತ್ತದೆ.
ನೆಟ್‌ವರ್ಕ್ ಸಂಪರ್ಕಗಳನ್ನು ಸ್ಥಾಪಿಸಲು, ಫೈಲ್‌ಗಳನ್ನು ಪ್ರವೇಶಿಸಲು ಮತ್ತು ಆಜ್ಞೆಗಳನ್ನು ಚಲಾಯಿಸಲು ಮೂಲ ಕೋಡ್‌ನಲ್ಲಿ ಕೋಡ್ ಪ್ಯಾಕೇಜ್‌ಗಳನ್ನು ವಿಶ್ಲೇಷಿಸಲು ಪ್ಯಾಕೇಜ್ ವಿಶ್ಲೇಷಣೆಯ ಕೆಲಸವು ಬರುತ್ತದೆ. ಹೆಚ್ಚುವರಿಯಾಗಿ, ಆರಂಭದಲ್ಲಿ ನಿರುಪದ್ರವ ಸಾಫ್ಟ್‌ವೇರ್‌ನ ಬಿಡುಗಡೆಗಳಲ್ಲಿ ಒಂದರಲ್ಲಿ ದುರುದ್ದೇಶಪೂರಿತ ಒಳಸೇರಿಸುವಿಕೆಯನ್ನು ನಿರ್ಧರಿಸಲು ಪ್ಯಾಕೇಜ್‌ಗಳ ಸ್ಥಿತಿಯಲ್ಲಿನ ಬದಲಾವಣೆಗಳನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಲಾಗುತ್ತದೆ. ರೆಪೊಸಿಟರಿಗಳಲ್ಲಿ ಹೊಸ ಪ್ಯಾಕೇಜ್‌ಗಳ ನೋಟವನ್ನು ಮೇಲ್ವಿಚಾರಣೆ ಮಾಡಲು ಮತ್ತು ಹಿಂದೆ ಪೋಸ್ಟ್ ಮಾಡಿದ ಪ್ಯಾಕೇಜ್‌ಗಳಿಗೆ ಬದಲಾವಣೆಗಳನ್ನು ಮಾಡಲು, ಪ್ಯಾಕೇಜ್ ಫೀಡ್ಸ್ ಟೂಲ್‌ಕಿಟ್ ಅನ್ನು ಬಳಸಲಾಗುತ್ತದೆ, ಇದು NPM, PyPI, Go, RubyGems, Packagist, NuGet ಮತ್ತು Crate ರೆಪೊಸಿಟರಿಗಳೊಂದಿಗೆ ಕೆಲಸವನ್ನು ಏಕೀಕರಿಸುತ್ತದೆ.
ಪ್ಯಾಕೇಜ್ ವಿಶ್ಲೇಷಣೆಯು ಸಂಯೋಜಿತವಾಗಿ ಮತ್ತು ಪ್ರತ್ಯೇಕವಾಗಿ ಬಳಸಬಹುದಾದ ಮೂರು ಮೂಲಭೂತ ಅಂಶಗಳನ್ನು ಒಳಗೊಂಡಿದೆ:
- ಪ್ಯಾಕೇಜ್ ಫೀಡ್‌ಗಳ ಡೇಟಾದ ಆಧಾರದ ಮೇಲೆ ಪ್ಯಾಕೇಜ್ ವಿಶ್ಲೇಷಣೆ ಕಾರ್ಯವನ್ನು ಪ್ರಾರಂಭಿಸಲು ಶೆಡ್ಯೂಲರ್.
- ಪ್ಯಾಕೇಜ್ ಅನ್ನು ನೇರವಾಗಿ ಪರಿಶೀಲಿಸುವ ಮತ್ತು ಸ್ಥಿರ ವಿಶ್ಲೇಷಣೆ ಮತ್ತು ಡೈನಾಮಿಕ್ ಟ್ರೇಸಿಂಗ್ ತಂತ್ರಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಅದರ ನಡವಳಿಕೆಯನ್ನು ಮೌಲ್ಯಮಾಪನ ಮಾಡುವ ವಿಶ್ಲೇಷಕ. ಪರೀಕ್ಷೆಯನ್ನು ಪ್ರತ್ಯೇಕ ಪರಿಸರದಲ್ಲಿ ನಡೆಸಲಾಗುತ್ತದೆ.
- BigQuery ಸಂಗ್ರಹಣೆಯಲ್ಲಿ ಪರೀಕ್ಷಾ ಫಲಿತಾಂಶಗಳನ್ನು ಇರಿಸುವ ಲೋಡರ್.
ಮೂಲ: opennet.ru