121.42.217.44 这位老哥，在 PyPI 上用马甲包名碰瓷钓鱼，被挖出来了。pip install 一把梭的当心了

[est]

– acqusition (uploaded 2017-06-03 01:58:01, impersonates acquisition)
– apidev-coop (uploaded 2017-06-03 05:16:08, impersonates apidev-coop_cms)
– bzip (uploaded 2017-06-04 07:08:05, impersonates bz2file)
– crypt (uploaded 2017-06-03 08:03:14, impersonates crypto)
– django-server (uploaded 2017-06-02 08:22:23, impersonates django-server-guardian-api)
– pwd (uploaded 2017-06-02 13:12:33, impersonates pwdhash)
– setup-tools (uploaded 2017-06-02 08:54:44, impersonates setuptools)
– telnet (uploaded 2017-06-02 15:35:05, impersonates telnetsrvlib)
– urlib3 (uploaded 2017-06-02 07:09:29, impersonates urllib3)
– urllib (uploaded 2017-06-02 07:03:37, impersonates urllib3)



https://www.bleepingcomputer.com/news/security/ten-malicious-libraries-found-on-pypi-python-package-index/

[Slienc7]

@aliyunservice 建议报警。

[sobigfish]

为啥 PyPI 社区一直在重复这种事件, 加上 vendor id 很难么？（演变成 pip install vendor/package)

[ericls]

@sobigfish PyPI 的包上传难度感觉人为加了难度 可能正是因为如此 所以 PyPI 的包质量通常较好 （相比 npm，上传难度很低）结果反而导致 impersonator 出现。PyPI 还有一系列 legacy 的东西没解决呢。。。

[xi2008wang]

还以为是现在的，原来是两年前的新闻了。。。

[janxin]

这个我记得是某个哥们专门验证能钓鱼专门传的吧，当时传了一大堆包

[find456789]

@aliyunservice 建议调查

[est]

@janxin 有相关资料么？

[changwei]

还有这种操作

[deepreader]

可怕

[des]

早说了不止 npm 有这个隐患

[zhengjian]

@est #7 http://blog.fatezero.org/2017/06/01/package-fishing/

[est]

@zhengjian 赞。这个博主是不是猪猪侠？

[lolizeppelin]

自打包 rpm 党飘过 压根不怕
...等等 我 window 上没 msi 包只能 pip 的咋办 233333

[lolizeppelin]

哦想起来了 我从 pip 上下载下来 本地装的 2333

[freefcw]

这点 composer/docker 之类的确实要好很多

[natforum]

这算挖坟吗 2 年前的新闻