Home Sign Up Sign In
推荐学习书目
› Learn Python the Hard Way
Python Sites
› PyPI - Python Package Index
› http://diveintopython.org/toc/index.html
› Pocoo
值得关注的项目
› PyPy
› Celery
› Jinja2
› Read the Docs
› gevent
› pyenv
› virtualenv
› Stackless Python
› Beautiful Soup
› 结巴中文分词
› Green Unicorn
› Sentry
› Shovel
› Pyflakes
› pytest
Python 编程
› pep8 Checker
Styles
› PEP 8
› Google Python Style Guide
› Code Style from The Hitchhiker's Guide
est
V2EX  ›  Python

121.42.217.44 这位老哥，在 PyPI 上用马甲包名碰瓷钓鱼，被挖出来了。pip install 一把梭的当心了

  •   
  •   est ·
    est · Jan 21, 2019 · 6149 views
    This topic created in 2846 days ago, the information mentioned may be changed or developed.
    – acqusition (uploaded 2017-06-03 01:58:01, impersonates acquisition)
    – apidev-coop (uploaded 2017-06-03 05:16:08, impersonates apidev-coop_cms)
    – bzip (uploaded 2017-06-04 07:08:05, impersonates bz2file)
    – crypt (uploaded 2017-06-03 08:03:14, impersonates crypto)
    – django-server (uploaded 2017-06-02 08:22:23, impersonates django-server-guardian-api)
    – pwd (uploaded 2017-06-02 13:12:33, impersonates pwdhash)
    – setup-tools (uploaded 2017-06-02 08:54:44, impersonates setuptools)
    – telnet (uploaded 2017-06-02 15:35:05, impersonates telnetsrvlib)
    – urlib3 (uploaded 2017-06-02 07:09:29, impersonates urllib3)
    – urllib (uploaded 2017-06-02 07:03:37, impersonates urllib3)



    https://www.bleepingcomputer.com/news/security/ten-malicious-libraries-found-on-pypi-python-package-index/
  • uploaded
  • 2017-06-02
  • impersonates
  • 2017-06-03
    16 replies  •  2019-01-21 16:19:23 +08:00
    Slienc7
    Slienc7
    Jan 21, 2019
    1
    @aliyunservice 建议报警。
    run2
    run2
    Jan 21, 2019
    2
    为啥 PyPI 社区一直在重复这种事件, 加上 vendor id 很难么？（演变成 pip install vendor/package)
    ericls
    ericls
    Jan 21, 2019
    3
    @sobigfish PyPI 的包上传难度感觉人为加了难度 可能正是因为如此 所以 PyPI 的包质量通常较好 （相比 npm，上传难度很低）结果反而导致 impersonator 出现。PyPI 还有一系列 legacy 的东西没解决呢。。。
    xi2008wang
    xi2008wang
    Jan 21, 2019
    4
    还以为是现在的，原来是两年前的新闻了。。。
    janxin
    janxin
    Jan 21, 2019
    5
    这个我记得是某个哥们专门验证能钓鱼专门传的吧，当时传了一大堆包
    find456789
    find456789
    Jan 21, 2019
    6
    @aliyunservice 建议调查
    est
    est
    OP
    Jan 21, 2019
    7
    @janxin 有相关资料么？
    changwei
    changwei
    Jan 21, 2019
    8
    还有这种操作
    deepreader
    deepreader
    Jan 21, 2019
    9
    可怕
    des
    des
    Jan 21, 2019 via Android
    10
    早说了不止 npm 有这个隐患
    est
    est
    OP
    Jan 21, 2019
    12
    @zhengjian 赞。这个博主是不是猪猪侠？
    lolizeppelin
    lolizeppelin
    Jan 21, 2019
    13
    自打包 rpm 党飘过 压根不怕
    ...等等 我 window 上没 msi 包只能 pip 的咋办 233333
    lolizeppelin
    lolizeppelin
    Jan 21, 2019
    14
    哦想起来了 我从 pip 上下载下来 本地装的 2333
    freefcw
    freefcw
    Jan 21, 2019
    15
    这点 composer/docker 之类的确实要好很多
    natforum
    natforum
    Jan 21, 2019
    16
    这算挖坟吗 2 年前的新闻
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   4616 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 635ms · UTC 09:06 · PVG 17:06 · LAX 01:06 · JFK 04:06
    ♥ Do have faith in what you're doing.