以后使用`pip install`命令的时候要小心了

2017-09-22 17:56:58 +08:00
 kunimi

有人往PyPI上传了一些和标准库的名字很类似的模块。这些模块代码和标准库的相同，不过在 installation script 包含了一些"malicious (but relatively benign) code."

原文链接： https://arstechnica.com/information-technology/2017/09/devs-unknowingly-use-malicious-modules-put-into-official-python-repository/

文末有PyPI的官方申明，其中提到了他们并没有全职员工来维护，所以就算要解决这个问题估计也要很久。推荐听听Episode #64: Inside the Python Package Index来了解下PyPI背后的故事。

6624 次点击
所在节点    Python
21 条回复
hotsnow
2017-09-22 19:09:56 +08:00
那如何避免呢。。。
a87150
2017-09-22 19:12:42 +08:00
年中的时候就有了吧
http://blog.fatezero.org/2017/06/01/package-fishing/
Cooky
2017-09-22 19:13:30 +08:00
@hotsnow 完全按照官方的安装步骤来
qq12345454
2017-09-22 19:14:33 +08:00
这个问题确实有些麻烦
HGladIator
2017-09-22 19:38:36 +08:00
记得有人这样钓过鱼，还分析了一下
Keyes
2017-09-22 19:59:47 +08:00
这些人太招人烦，又咬人又膈应人
yongzhong
2017-09-22 20:06:28 +08:00
还有一种 pip 投毒,也很恶心
scriptB0y
2017-09-22 20:15:21 +08:00
坑啊，只能小心点从官方复制粘贴了 自己打字都瑟瑟发抖
hduwzy
2017-09-22 21:22:24 +08:00
还有一种 pip 投毒,也很恶心
exiahan
2017-09-22 21:37:14 +08:00
系统上能管理包的只有发行版自带的包管理器，其他的什么 npm，pip 一律都不给 root，Python 的搞 virtualenv，装死了也不怕（ ・∀・）
shiny
2017-09-22 21:46:14 +08:00
确实遇到过记错包名字的情况，比如多个 s
shiny
2017-09-22 21:47:10 +08:00
此外，如果写篇教程故意打错包名…… 细思极恐。
monsterxx03
2017-09-22 21:58:18 +08:00
生产环境的都统一做成 deb，放进自己的源的
abmin521
2017-09-22 22:34:54 +08:00
@exiahan npm -g 必须 sudo 吧
zonghua
2017-09-22 22:42:06 +08:00
@exiahan 执行个`rm -rf / `
exiahan
2017-09-22 22:54:07 +08:00
@abmin521 非要 global 安装那就没办法了。。我宁愿多装几次占点空间也不愿意让有 root 权限的包管理器超过两个。。
exiahan
2017-09-22 22:54:48 +08:00
@zonghua 你来吧，搞完了记得手机拍个照(　･ิω･ิ)
lrxiao
2017-09-22 23:14:02 +08:00
emmm 最近刚看到 rust 瞬间修复了 crates.io 的包隐含恶意代码的信息
lrxiao
2017-09-22 23:14:35 +08:00
这居然修不好了
rashawn
2017-09-22 23:27:35 +08:00
@abmin521 不用啊 随便安在个什么地方就可以

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/392897

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX