关于阿里云:转载PyPI-镜像

阿里巴巴开源镜像站 -OPSX 镜像站 - 阿里云开发者社区 (aliyun.com)

pypi 镜像 -pypi 下载地址 -pypi 装置教程 - 阿里巴巴开源镜像站 (aliyun.com)

简介

PyPI (Python Package Index) 是 Python 编程语言的软件存储库。开发者能够通过 PyPI 查找和装置由 Python 社区开发和共享的软件，也能够将本人开发的库上传至 PyPI。

下载地址：https://mirrors.aliyun.com/pypi/

配置办法

a. 找到下列文件

~/.pip/pip.conf

b. 在上述文件中增加或批改:

[global]
index-url = https://mirrors.aliyun.com/pypi/simple/

[install]
trusted-host=mirrors.aliyun.com

相干链接

• 官方主页：https://pypi.org/

软件包预警

背景

Python 库的官网仓库 pypi 容许开发者自在上传软件包，这会导致某些攻击者利用这点结构歹意包进行供应链攻打，在用户安装包或者引入包时触发歹意行为。目前国内镜像源与官网镜像源往往并不是完全一致，国内源广泛采纳的是增量更新机制，也就是官网删除的歹意包国内不会同步删除。而这一部分歹意包可能会在很长一段时间内对国内用户造成影响。

阿里云平安 - 薪火实验室联合自建检测引擎 - 伏魔引擎长期对供应链歹意样本进行监控和预警，爱护阿里 pypi 源平安。

删除包列表

以下具备平安威逼的软件包阿里 pypi 源已对应删除，开发者可通过 pip list 命令对于机器上曾经装置的 pypi 包进行自查，如发现装置有以下具备平安危险的包，倡议尽快删除修复。

歹意类型解释

歹意后门：恶意程序能够在用户不知情的状况下间接装置启动运行，后盾开启非凡接口，不便黑客再次进入受害者计算机，通常会增加非法的启动项，服务等用于长期驻留

反弹 shell：黑客在获取执行权限后，能够通过在受害者机器上建设 shell 会话连贯至黑客计算机，黑客能够通过 shell 会话间接下发命令管制受害者计算机。

获取敏感信息：非法窃取受害者计算机相关敏感信息，比方零碎、软件账号密码、配置，零碎截屏，私密文件内容，钱包信息等，并将这些信息通过各种伎俩泄露给黑客服务器。

近程命令执行：恶意程序启动会获取黑客服务器信息，并依据近程数据，执行可被黑客管制的近程代码，用于管制受害者机器，执行黑客下发的指令等。

挖矿木马：木马在用户不知情的状况下，应用计算机算力对各类数字货币进行挖矿获利，占用机器大量 CPU、GPU 资源，重大影响其余利用执行。

篡改剪贴板加密货币地址：恶意程序会监督机器剪贴板，一旦发现用户复制加密货币钱包地址，便将剪贴板中地址替换成黑客指定的钱包地址，用户便可能在不知情中向攻击者转账数字货币。

参考

• https://heimdalsecurity.com/b…
• https://thehackernews.com/202…
• https://github.com/rsc-dev/py…
• https://www.helpnetsecurity.c…
• https://snyk.io/blog/maliciou…
• https://www.nbu.gov.sk/skcsir…
• https://www.itsfoss.net/malic…
• https://www.freebuf.com/artic…
• https://security.bytedance.co…
• https://bytedance.feishu.cn/s…
• https://paper.seebug.org/1562/
• https://security.tencent.com
• https://nakedsecurity.sophos….
• http://www.djbh.net/webdev/we…
• https://security.snyk.io/
• https://github.com/pypa/pypi-…