Packj - പൈത്തണിലും ജാവാസ്ക്രിപ്റ്റിലുമുള്ള ക്ഷുദ്ര ലൈബ്രറികൾ തിരിച്ചറിയുന്നതിനുള്ള ഒരു ടൂൾകിറ്റ്

ലൈബ്രറികളുടെ സുരക്ഷ വിശകലനം ചെയ്യുന്ന Packj പ്ലാറ്റ്‌ഫോമിന്റെ ഡെവലപ്പർമാർ ഒരു തുറന്ന കമാൻഡ് ലൈൻ ടൂൾകിറ്റ് പ്രസിദ്ധീകരിച്ചു, അത് ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങളുടെ നിർവഹണവുമായോ ആക്രമണങ്ങൾ നടത്താൻ ഉപയോഗിക്കുന്ന കേടുപാടുകളുടെ സാന്നിധ്യവുമായോ ബന്ധപ്പെട്ടേക്കാവുന്ന പാക്കേജുകളിലെ അപകടകരമായ ഘടനകളെ തിരിച്ചറിയാൻ അവരെ അനുവദിക്കുന്നു. സംശയാസ്പദമായ പാക്കേജുകൾ ഉപയോഗിക്കുന്ന പ്രോജക്റ്റുകളിൽ ("വിതരണ ശൃംഖല"). PyPi, NPM ഡയറക്‌ടറികളിൽ ഹോസ്റ്റ് ചെയ്‌തിരിക്കുന്ന പൈത്തൺ, ജാവാസ്ക്രിപ്റ്റ് ഭാഷകളിൽ പാക്കേജ് പരിശോധനയെ പിന്തുണയ്‌ക്കുന്നു (റൂബി, റൂബിജെംസ് എന്നിവയ്‌ക്ക് ഈ മാസം പിന്തുണ ചേർക്കാനും അവർ പദ്ധതിയിടുന്നു). ടൂൾകിറ്റ് കോഡ് പൈത്തണിൽ എഴുതുകയും AGPLv3 ലൈസൻസിന് കീഴിൽ വിതരണം ചെയ്യുകയും ചെയ്യുന്നു.

PyPi റിപ്പോസിറ്ററിയിലെ നിർദ്ദിഷ്ട ഉപകരണങ്ങൾ ഉപയോഗിച്ച് 330 ആയിരം പാക്കേജുകളുടെ വിശകലനത്തിൽ, ബാക്ക്ഡോറുകളുള്ള 42 ക്ഷുദ്ര പാക്കേജുകളും 2.4 ആയിരം അപകടസാധ്യതയുള്ള പാക്കേജുകളും തിരിച്ചറിഞ്ഞു. പരിശോധനയ്ക്കിടെ, API സവിശേഷതകൾ തിരിച്ചറിയുന്നതിനും OSV ഡാറ്റാബേസിൽ രേഖപ്പെടുത്തിയിരിക്കുന്ന അറിയപ്പെടുന്ന കേടുപാടുകളുടെ സാന്നിധ്യം വിലയിരുത്തുന്നതിനും ഒരു സ്റ്റാറ്റിക് കോഡ് വിശകലനം നടത്തുന്നു. API വിശകലനം ചെയ്യാൻ MalOSS പാക്കേജ് ഉപയോഗിക്കുന്നു. ക്ഷുദ്രവെയറിൽ സാധാരണയായി ഉപയോഗിക്കുന്ന സാധാരണ പാറ്റേണുകളുടെ സാന്നിധ്യത്തിനായി പാക്കേജ് കോഡ് വിശകലനം ചെയ്യുന്നു. സ്ഥിരീകരിച്ച ക്ഷുദ്ര പ്രവർത്തനങ്ങളുള്ള 651 പാക്കറ്റുകളിൽ നടത്തിയ പഠനത്തിന്റെ അടിസ്ഥാനത്തിലാണ് ടെംപ്ലേറ്റുകൾ തയ്യാറാക്കിയത്.

"eval" അല്ലെങ്കിൽ "exec" വഴി ബ്ലോക്കുകൾ എക്സിക്യൂട്ട് ചെയ്യുക, റൺടൈമിൽ പുതിയ കോഡ് സൃഷ്ടിക്കുക, അവ്യക്തമായ കോഡ് ടെക്നിക്കുകൾ ഉപയോഗിച്ച്, എൻവയോൺമെന്റ് വേരിയബിളുകൾ കൈകാര്യം ചെയ്യുക, ഫയലുകളിലേക്കുള്ള നോൺ-ടാർഗെറ്റ് ആക്സസ്, എന്നിങ്ങനെയുള്ള ദുരുപയോഗ സാധ്യത വർദ്ധിപ്പിക്കുന്ന ആട്രിബ്യൂട്ടുകളും മെറ്റാഡാറ്റയും ഇത് തിരിച്ചറിയുന്നു. ഇൻസ്‌റ്റലേഷൻ സ്‌ക്രിപ്റ്റുകളിൽ നെറ്റ്‌വർക്ക് ഉറവിടങ്ങൾ ആക്‌സസ് ചെയ്യുന്നു (setup.py), ടൈപ്പ്‌ക്വാറ്റിംഗ് (ജനപ്രിയ ലൈബ്രറികളുടെ പേരുകൾക്ക് സമാനമായ പേരുകൾ നൽകൽ), കാലഹരണപ്പെട്ടതും ഉപേക്ഷിക്കപ്പെട്ടതുമായ പ്രോജക്‌റ്റുകൾ തിരിച്ചറിയൽ, നിലവിലില്ലാത്ത ഇമെയിലുകളും വെബ്‌സൈറ്റുകളും വ്യക്തമാക്കൽ, കോഡുള്ള ഒരു പൊതു സംഭരണിയുടെ അഭാവം.

കൂടാതെ, PyPi ശേഖരത്തിലെ അഞ്ച് ക്ഷുദ്ര പാക്കേജുകളുടെ മറ്റ് സുരക്ഷാ ഗവേഷകർ തിരിച്ചറിയുന്നത് ഞങ്ങൾക്ക് ശ്രദ്ധിക്കാം, ഇത് AWS-നും തുടർച്ചയായ ഇന്റഗ്രേഷൻ സിസ്റ്റങ്ങൾക്കുമുള്ള ടോക്കണുകൾ മോഷ്ടിക്കുമെന്ന പ്രതീക്ഷയോടെ പരിസ്ഥിതി വേരിയബിളുകളുടെ ഉള്ളടക്കങ്ങൾ ഒരു ബാഹ്യ സെർവറിലേക്ക് അയച്ചു: loglib-modules (ഇങ്ങനെയാണ് അവതരിപ്പിച്ചിരിക്കുന്നത്. നിയമാനുസൃതമായ ലോഗ്ലിബ് ലൈബ്രറിയ്ക്കുള്ള മൊഡ്യൂളുകൾ), pyg-modules , pygrata, pygrata-utils (നിയമാനുസൃതമായ pyg ലൈബ്രറിയിലേക്കുള്ള കൂട്ടിച്ചേർക്കലുകളായി അറിയപ്പെടുന്നു) കൂടാതെ hkg-sol-utils.

അവലംബം: opennet.ru