Популярность имеет свои минусы. Чем популярней язык программирования, тем выше его распространённость, а значит найдутся те кто поспешит воспользоваться этим.
С ростом популярности Python всё больше на PyPi появляется вредоносных пакетов. Трояны, стиллеры и доставщики более опасных вредоносов.
Команда PyPi постоянно мониторит подобные случаи но и их возможности достигли предела. В результате сервис временно закрывает возможность заливки новых пакетов и регистрации юзеров.
PyPI new user and new project registrations temporarily suspended
Возможно одной из причин большого наплыва вредоносов является резко возросшая доступность их создания. Сегодня любой, даже не программист, может попросить у ChatGPT написать необходимый код и все инструкции для атаки.
Основной тип атаки - рассчёт на опечатку в названии пакета. Если невнимательный программист случайно установит pilow или djangoo, считай что вредонос уже в системе.
Чтобы избежать подобных факапов я рекомендую:
▫️ Всегда работайте в виртуальном окружении, неизвестные проекты устанавливайте внутри контейнеров.
▫️ Используйте файл requirements.txt вместо ручной установки пакетов
▫️ Очень внимательно пишите названия пакетов, а после написания проверьте еще раз. Сверьте с названием из документации.
▫️ После успешных тестов всегда фиксируйте версию пакета. Бывали случаи когда опасный код добавляли в новые версии. К тому же и без этой опасности не рекомендуется ставить по умолчанию последнюю версию.
▫️ Используйте вспомогательные инструменты для проверки безопасности, например https://pyup.io/safety или https://github.com/PyCQA/bandit. Они помогут не только найти опасный код в чужих пакетах, но и ваш код проверит на уязвимости.
Будем надеяться что PyPi переосмыслит методы борьбы с вредоносами, например внедрит ИИ для проверки как симметричный шаг.
#offtop
📚 Everything curl.
• Очень объемное руководство по работе с curl'ом, которое актуализируют еще с начала 2015 года и по сей день. Книга является бесплатной, а вклад в её развитие внесли десятки авторов: https://curl.haxx.se/book.html
➡️ Репозиторий: https://github.com/curl/everything-curl
➡️ Скачать книгу в PDF или ePUB.
#curl
https://curl.haxx.se/libcurl/c/example.html
These files are intended as examples only. In the interest of simplicity and clarity, they might not include proper error handling and might produce compiler warnings on some platforms. Real-world applications should pay more attention to these issues.
#cURL
http://www.angryobjects.com/2011/10/15/http-with-python-pycurl-by-example/
A colleague of mine recently remarked something along the lines of “whenever I need to do HTTP client stuff in any language, I usually go look for #cURL bindings straight away”, and I’m starting to agree on that one. HTTP is hard to do right, and cURL has a track record of doing HTTP right. If you don’t know what cURL is, take a look at http://curl.haxx.se
Curl 8.4.0: разработчик признался в допущенных ошибках и выпустил исправления
✖️ Новая версия curl устраняет две отдельные уязвимости: CVE-2023-38545 и CVE-2023-38546, которые затрагивают как libcurl, так и curl.
✖️ Первая уязвимость представляет из себя ошибку переполнения буфера кучи, которая может привести к повреждению данных и даже выполнению произвольного кода. Вторая уязвимость связана с инъекцией cookie и затрагивает только libcurl.
✖️ Даниэль Стенберг признал, что подобные ошибки в curl не существовали бы, если бы инструмент был написан на более безопасном языке программирования с большим объёмом памяти, а не на устаревшем языке C.
#curl#безопасность#уязвимости@SecLabNews
👨💻 Mastering the curl command line.
• Почти 4 часа обучения работе с curl. Напомню, что этот инструмент популярен в сфере автоматизации и скриптов благодаря широкому диапазону функций и поддерживаемых протоколов.
• По ссылке ниже вы можете найти тайм коды, что позволит изучить материал в более удобном формате.
➡️https://youtu.be/V5vZWHP-RqU
#curl#Курс#Видео#Eng
[$] The challenge of maintaining curl
在2025年欧洲开源峰会上,curl 维护者 Daniel Stenberg 在仅有的15分钟演讲中,分享了项目维护面临的挑战。与其他开源项目类似,curl 的维护压力日益增加,问题似乎越来越严重。
原文链接:https://lwn.net/Articles/1034966/
#开源维护#curl#技术挑战
#AIGC
Read more