建站
咨詢
售后
建站咨詢
新聞中心
PyPI近日移除了惡意mitmproxy2 Python包。
創(chuàng)新互聯(lián)從2013年創(chuàng)立，先為云浮等服務(wù)建站，云浮等地企業(yè)，進(jìn)行企業(yè)商務(wù)咨詢服務(wù)。為云浮企業(yè)網(wǎng)站制作PC+手機(jī)+微官網(wǎng)三網(wǎng)同步一站式服務(wù)解決您的所有建站問題。
mitmproxy2
官方mitmproxy Python庫(kù)是一個(gè)免費(fèi)、開源的交互式HTTPS代理，每周下載量超過4萬次。10月11日，mitmproxy的開發(fā)者之一Maximilian Hils發(fā)推警示用戶近日上傳到PyPI的mitmproxy2包，稱該包與mitmproxy是一樣的，但其中包含一個(gè)(人為嵌入的)遠(yuǎn)程代碼執(zhí)行漏洞。
Hils的本意是向軟件開發(fā)者提出警告，使得開發(fā)者不要錯(cuò)誤地將'mitmproxy2'當(dāng)做是'mitmproxy'的新版本，而其開發(fā)的應(yīng)用中引入不安全的代碼。
mitmproxy2 pypi頁(yè)面
Hils意外發(fā)現(xiàn)了mitmproxy2 Python包，經(jīng)過與mitmproxy對(duì)比發(fā)現(xiàn)，mitmproxy2中移除了API的所有安全措施：
'mitmproxy2'移除了API防護(hù)
當(dāng)用戶運(yùn)行mitmproxy的web接口時(shí)，只會(huì)暴露HTTP API。但是從API中移除了防護(hù)措施后，處于同一網(wǎng)絡(luò)中的所有人都可以用一個(gè)簡(jiǎn)單的HTTP請(qǐng)求在受害者機(jī)器上執(zhí)行代碼。
目前還不清楚發(fā)布'mitmproxy2'包的用戶是處于惡意目的還是由于不安全的編碼導(dǎo)致移除了API防護(hù)。
mitmproxy-iframe
隨后，PyPI移除了mitmproxy2。但就在mitmproxy2被移除后不到1天的時(shí)間，BleepingComputer研究人員又在PyPI中發(fā)現(xiàn)了一個(gè)名為mitmproxy-iframe的包。該包也是官方mitmproxy包的復(fù)制版本，但是也從app.py文件中移除了mitmproxy2中移除的防護(hù)措施。
'mitmproxy-iframe' 包代碼
此外，mitmproxy-iframe與mitmproxy2的發(fā)布者是同一個(gè)人。那么該用戶的意圖就很清楚了。
本文翻譯自：https://www.bleepingcomputer.com/news/security/pypi-removes-mitmproxy2-over-code-execution-concerns/如若轉(zhuǎn)載，請(qǐng)注明原文地址。
網(wǎng)頁(yè)題目：惡意mitmproxy2Python包被移除
本文地址：http://www.5511xx.com/article/djcphco.html
