저장소의 모든 패키지에 종속되는 NPM 패키지 생성을 실험해 보세요.

JavaScript 패키지 개발자 중 한 명이 NPM 저장소에 종속성이 있는 저장소의 모든 기존 패키지를 포함하는 "모든 것" 패키지를 생성하고 배치하는 실험을 했습니다. 이 기능을 구현하기 위해 "everything" 패키지는 3000개의 "@everything-registry/chunk-N" 패키지와 직접적인 종속성을 가지며, 이는 차례로 800개 이상의 "sub-chunk-N" 패키지에 종속되며, 각 패키지는 다음에 바인딩됩니다. 저장소에 XNUMX개의 기존 패키지가 있습니다.

NPM에 "모든 것"을 배치하는 것은 두 가지 흥미로운 효과를 가져왔습니다. 첫째, "모든 것" 패키지는 DoS 공격을 수행하기 위한 일종의 도구가 되었습니다. 이 패키지를 설치하려고 하면 NPM에서 호스팅되는 수백만 개의 패키지를 다운로드하고 사용 가능한 디스크 공간을 소진하거나 빌드 프로세스 실행을 중지하게 되기 때문입니다. NPM 통계에 따르면 해당 패키지는 약 250번 다운로드되었지만 개발자 계정이 해킹되어 방해 행위를 저지른 후에는 아무도 이를 다른 패키지에 종속성으로 추가하려고 하지 않습니다. 또한 NPM에서 호스팅하는 새 패키지를 모니터링하고 확인하는 일부 서비스와 도구가 자신도 모르게 공격에 노출되었습니다.

둘째, "모든 것" 패키지를 게시하면 종속성 목록에 포함된 NPM의 모든 패키지를 제거하는 기능이 효과적으로 차단되었습니다. NPM의 패키지는 다른 패키지의 종속성에서 아직 사용되지 않은 경우에만 작성자가 제거할 수 있지만 "모든 것"을 게시한 후에 종속성이 저장소의 모든 패키지를 포함하는 것으로 밝혀졌습니다. 9년 전 테스트 패키지 "everything-else"가 종속성 목록에 "everything" 문자열을 포함하는 저장소에 게시된 이후로 "everything" 패키지 자체의 제거도 차단되었다는 점은 주목할 만합니다. 따라서 출판 후 "모든 것" 패키지는 결국 다른 패키지에 종속되게 되었습니다.

출처 : opennet.ru