रेपॉजिटरीमधील सर्व पॅकेजेसवर अवलंबून असलेले NPM पॅकेज तयार करण्याचा प्रयोग करा

JavaScript पॅकेजेसच्या विकसकांपैकी एकाने NPM रेपॉजिटरीमध्ये “एव्हरीथिंग” पॅकेज तयार करण्याचा आणि ठेवण्याचा प्रयोग केला, जे रिपॉझिटरीमधील सर्व विद्यमान पॅकेजेस अवलंबित्वांसह कव्हर करते. हे वैशिष्ट्य अंमलात आणण्यासाठी, “एव्हरीथिंग” पॅकेजमध्ये पाच “@everything-registry/chunk-N” पॅकेजेससह थेट अवलंबित्व आहे, ज्यामध्ये 3000 पेक्षा जास्त “सब-चंक-एन” पॅकेजेसवर अवलंबित्व आहे, ज्यापैकी प्रत्येक रेपॉजिटरीमध्ये 800 विद्यमान पॅकेजेस.

NPM मध्ये "सर्व काही" ठेवण्याचे दोन मनोरंजक परिणाम झाले. प्रथम, “सर्व काही” पॅकेज हे DoS हल्ले करण्यासाठी एक प्रकारचे साधन बनले आहे, कारण ते स्थापित करण्याचा प्रयत्न केल्याने NPM मध्ये होस्ट केलेले लाखो पॅकेज डाउनलोड केले जातात आणि उपलब्ध डिस्क स्पेस संपुष्टात येते किंवा बिल्ड प्रक्रियेची अंमलबजावणी थांबते. NPM आकडेवारीनुसार, पॅकेज सुमारे 250 वेळा डाउनलोड केले गेले, परंतु विकसकाचे खाते तोडफोड करण्यासाठी हॅक झाल्यानंतर ते दुसर्‍या पॅकेजवर अवलंबित्व म्हणून जोडण्याची तसदी कोणी घेत नाही. याव्यतिरिक्त, काही सेवा आणि साधने जे NPM द्वारे होस्ट केलेल्या नवीन पॅकेजेसचे परीक्षण करतात आणि तपासतात ते नकळतपणे हल्ल्याच्या समोर आले होते.

दुसरे म्हणजे, "सर्वकाही" पॅकेज प्रकाशित केल्याने NPM मधील कोणतीही पॅकेजेस काढून टाकण्याची क्षमता प्रभावीपणे अवरोधित केली जी त्याच्या अवलंबनांच्या सूचीमध्ये संपली. NPM मधील पॅकेज केवळ लेखकाद्वारे काढून टाकले जाऊ शकते जर ते आधीच इतर पॅकेजेसच्या अवलंबनांमध्ये वापरलेले नसेल, परंतु "सर्वकाही" प्रकाशनानंतर अवलंबन रिपॉजिटरीमधील सर्व पॅकेजेस कव्हर करण्यासाठी निघाले. हे लक्षात घेण्यासारखे आहे की "सर्वकाही" पॅकेज काढणे देखील अवरोधित केले गेले होते, कारण 9 वर्षांपूर्वी रेपॉजिटरीमध्ये "सर्व काही" चाचणी पॅकेज पोस्ट केले गेले होते, ज्यामध्ये अवलंबनांच्या सूचीमध्ये "सर्वकाही" स्ट्रिंग समाविष्ट होते. अशा प्रकारे, प्रकाशनानंतर, “सर्व काही” पॅकेज दुसर्‍या पॅकेजवर अवलंबून राहिले.

स्त्रोत: opennet.ru