Package 钓鱼

[fate0]

前几天，我在 PyPI 上投放了 20+ 个 evil package，用于统计随意安装 package 同学的信息。

详细的记录在 http://blog.fatezero.org/2017/06/01/package-fishing/

[ic3z]

如何防范？

[sobigfish]

除非每个新 package 新上 pypi 时大家 review vote （或者专人审核）

[Kilerd]

原来都是你们这些人把好名字都注册了。

浪费。 （这里就不骂人了，简直污染社区

[nujabse]

想起了 Arch Linux AUR 仓库的 vote 和 comment 机制

[voocel]

会玩

[0915240]

前几页看到了 baidu \ stanford \ jd 的 ?

[66CCFF]

不如提供一下完整的数据包？大家爬起来也很费事啊。

[Shura]

npm 应该也有类似的问题吧？

[RqPS6rhmP3Nyn3Tm]

@Kilerd 删除会释放名字

[Kirscheis]

好奇有没有人测试过 homebrew cask

[anoymoux]

@66CCFF
apt-get install jq
for i in `seq 0 20 10685`; do curl -s 'http://evilpackage.fatezero.org/json?order=asc&offset='$i |jq -r '.rows|map([.ip,.username,.hostname,.language,.package]|join(","))|join("\r\n")'; done

[Trim21]

暴露 ip 有点过了。。

[zhangneww]

希望可以引起官方和用户的重视

[laike9m]

之前写了两个库，结果最开始想的名字全都被占了，不过好歹别人先来的也就不说啥了，不过楼主这种做法确定不是恶意扰乱社区？

[wormcy]

有意思

[xiaket]

之前就觉得 PyPI 这种放任上传的方式有点太懒散了，可能会出事. 个人觉得这个锅作者背一半, PyPI 也应该背一半.

[imlonghao673]

那大概就是网络实名制和专人审核制的原因？

光荣榜列出 pypi 的用户名和 ip ？你是会玩的

[prasanta]

这些 ip 可以利用起来

[7654]

让我想起最近知乎上看到的，还有这种操作的帖子
只想说楼主会玩
pypi 已经发生过这样的事了，为什么不补救

[Jacky001]

@ic3z 防不慎防，尤其是这种陶瓷名字的，很多人真的会不注意