被污染的 npm 包：event-stream #4851

CoderMing · 2018-12-14T02:02:27Z

译文翻译完成，resolve #4798

CoderMing · 2018-12-14T02:04:21Z

注：原markdown文件的换行存在一定格式问题，我翻译的时候已经改过来了。这看起来会让删除的行比新增的行多。

KarthusLorin · 2018-12-14T03:12:21Z

@leviding 校对认领

fanyijihua · 2018-12-14T03:12:22Z

@KarthusLorin 好的呢 🍺

caoyi0905 · 2018-12-14T10:03:27Z

校对认领

fanyijihua · 2018-12-14T10:03:29Z

@caoyi0905 妥妥哒 🍻

caoyi0905

校对完成

caoyi0905 · 2018-12-14T10:06:28Z

TODO1/compromised-npm-package-event-stream.md

 > * 校对者：
+ # 被污染的 npm 包：event-stream
+ ![](https://cdn-images-1.medium.com/max/800/1*OB_BwZtUSGuM15X6xFsrWw.png)
+一个著名的 npm 包 [`event-stream`](https://github.com/dominictarr/event-stream) 的作者，将其转让给了一个恶意用户 [right9ctrl](https://github.com/right9ctrl)。这个包每个月有超过 [150万](https://www.npmjs.com/package/event-stream) 次下载，同时其被 1,600 个其它的 npm 包依赖。恶意用户通过持续地向这个包贡献代码来收获了其原作者的信任。这个 npm 包由恶意用户发布的第一个版本时间是 2018 年 9 月 4 日。


收获了其原作者的信任 => 获得了其原作者的信任

这个 npm 包由恶意用户发布的第一个版本是 2018 年 9 月 4 日。 => 恶意用户在 2018 年 9 月 4 日发布了这个 npm 包的第一个版本。

这个 npm 包很早以前就存在了哈～是在 2018 年 9 月 4 日由恶意用户发布了经过修改的带恶意代码的第一个版本～

caoyi0905 · 2018-12-14T10:08:48Z

TODO1/compromised-npm-package-event-stream.md

+ # 被污染的 npm 包：event-stream
+ ![](https://cdn-images-1.medium.com/max/800/1*OB_BwZtUSGuM15X6xFsrWw.png)
+一个著名的 npm 包 [`event-stream`](https://github.com/dominictarr/event-stream) 的作者，将其转让给了一个恶意用户 [right9ctrl](https://github.com/right9ctrl)。这个包每个月有超过 [150万](https://www.npmjs.com/package/event-stream) 次下载，同时其被 1,600 个其它的 npm 包依赖。恶意用户通过持续地向这个包贡献代码来收获了其原作者的信任。这个 npm 包由恶意用户发布的第一个版本时间是 2018 年 9 月 4 日。
+恶意用户修改了 `event-stream` 让其依赖了一个恶意 npm 包 [`flatmap-stream`](https://github.com/hugeglass/flatmap-stream)。这个 npm 包是专门针对这次攻击所制作的。它包括了一个相当简单的 `index.js` 文件，同时也有一个压缩版的 `index.min.js` 文件。在 GitHub 上，这两个文件看起来完全没问题。然而，在 npm 上发行的代码并没有被要求与 git 仓库中所存储的代码相同。


“让其依赖了一个恶意 npm 包” 前可以加一个逗号

caoyi0905 · 2018-12-14T10:10:12Z

TODO1/compromised-npm-package-event-stream.md


-# Compromised npm Package: event-stream
+ ### 恶意 npm 包做了什么？
+恶意 npm 为目标高度精确的攻击。它最终会对一个开源 APP [bitpay/copay](https://github.com/bitpay/copay) 发起攻击。该 APP 的 README 中讲到：_Copay 是一个支持桌面端和移动端的安全的比特币钱包平台_。我们知道恶意 npm 包只针对这个应用是因为其会读取项目 `package.json` 文件中的 `description` 字段，并用其去解码一个 **AES256** 加密的代码段。


caoyi0905 · 2018-12-14T10:11:34Z

TODO1/compromised-npm-package-event-stream.md


-![](https://cdn-images-1.medium.com/max/800/1*OB_BwZtUSGuM15X6xFsrWw.png)
+对于其他项目， `description` 字段不能够用于给加密代码段解密，之后 hack 操作将会悄悄终止。 而 [bitpay/copay的 description 字段](https://github.com/bitpay/copay/blob/90336ef9fb4cc3a90a026827be27a32348d3615c/package.json#L3)，也就是 `A Secure Bitcoin Wallet`，是解密这些数据（加密代码段）的key。
+ `flatmap-stream` 这个包巧妙地将数据隐藏在了 `test` 文件夹中。这个文件夹在 GitHub 不可见但却出现在了实际的 [`flatmap-stream-0.1.1.tgz`](https://registry.npmjs.org/flatmap-stream/-/flatmap-stream-0.1.1.tgz) 包中。这些加密的数据以一个数组的形式存储，数据的每一部分都被压缩及混淆过，同时也以不同的参数进行了加密。一部分加密的数据包括了一些会被静态数据统计工具警告为恶意行为的方法名，例如 `_compile` 这个在 `require` 中意味着创建一个新 Module 的字符串。在下面两段示例代码中，我尽我所能去清理了这些文件让其阅读更加友好。


让其阅读更加友好 => 让代码更易读

KarthusLorin

校对完成，请多多指教~

KarthusLorin · 2018-12-15T07:18:37Z

TODO1/compromised-npm-package-event-stream.md

+ ![](https://cdn-images-1.medium.com/max/800/1*OB_BwZtUSGuM15X6xFsrWw.png)
+一个著名的 npm 包 [`event-stream`](https://github.com/dominictarr/event-stream) 的作者，将其转让给了一个恶意用户 [right9ctrl](https://github.com/right9ctrl)。这个包每个月有超过 [150万](https://www.npmjs.com/package/event-stream) 次下载，同时其被 1,600 个其它的 npm 包依赖。恶意用户通过持续地向这个包贡献代码来收获了其原作者的信任。这个 npm 包由恶意用户发布的第一个版本时间是 2018 年 9 月 4 日。
+恶意用户修改了 `event-stream` 让其依赖了一个恶意 npm 包 [`flatmap-stream`](https://github.com/hugeglass/flatmap-stream)。这个 npm 包是专门针对这次攻击所制作的。它包括了一个相当简单的 `index.js` 文件，同时也有一个压缩版的 `index.min.js` 文件。在 GitHub 上，这两个文件看起来完全没问题。然而，在 npm 上发行的代码并没有被要求与 git 仓库中所存储的代码相同。
+这个被插入到 `event-stream` 中的恶意 npm 包在 10 月 20 日被其他用户发现并在 [dominictarr/event-stream#116](https://github.com/dominictarr/event-stream/issues/116#issuecomment-441759047) 中曝光。这个 issue 在恶意 npm 包发布两个月后才被创建。开源软件的一大好处是能够集众多开发者之力。但这并不是毫无坏处的。例如 OpenSSL，这个开源项目有着几乎最严格的代码审查，但是其仍然有许多不足之处，例如 Heartbleed 漏洞（译者注：可参考 http://heartbleed.com/）。


开源软件的一大好处是能够集众多开发者之力。但这并不是毫无坏处的 => 建议把句号改为逗号

KarthusLorin · 2018-12-15T07:23:12Z

TODO1/compromised-npm-package-event-stream.md


-# Compromised npm Package: event-stream
+ ### 恶意 npm 包做了什么？
+恶意 npm 为目标高度精确的攻击。它最终会对一个开源 APP [bitpay/copay](https://github.com/bitpay/copay) 发起攻击。该 APP 的 README 中讲到：_Copay 是一个支持桌面端和移动端的安全的比特币钱包平台_。我们知道恶意 npm 包只针对这个应用是因为其会读取项目 `package.json` 文件中的 `description` 字段，并用其去解码一个 **AES256** 加密的代码段。


恶意 npm 为目标高度精确的攻击 => 该恶意 npm 包是一种针对性很强的攻击

KarthusLorin · 2018-12-15T07:23:50Z

TODO1/compromised-npm-package-event-stream.md


-# Compromised npm Package: event-stream
+ ### 恶意 npm 包做了什么？
+恶意 npm 为目标高度精确的攻击。它最终会对一个开源 APP [bitpay/copay](https://github.com/bitpay/copay) 发起攻击。该 APP 的 README 中讲到：_Copay 是一个支持桌面端和移动端的安全的比特币钱包平台_。我们知道恶意 npm 包只针对这个应用是因为其会读取项目 `package.json` 文件中的 `description` 字段，并用其去解码一个 **AES256** 加密的代码段。


讲到 => 提到

KarthusLorin · 2018-12-15T07:25:56Z

TODO1/compromised-npm-package-event-stream.md


-# Compromised npm Package: event-stream
+ ### 恶意 npm 包做了什么？
+恶意 npm 为目标高度精确的攻击。它最终会对一个开源 APP [bitpay/copay](https://github.com/bitpay/copay) 发起攻击。该 APP 的 README 中讲到：_Copay 是一个支持桌面端和移动端的安全的比特币钱包平台_。我们知道恶意 npm 包只针对这个应用是因为其会读取项目 `package.json` 文件中的 `description` 字段，并用其去解码一个 **AES256** 加密的代码段。


Copay 是一个支持桌面端和移动端的安全的比特币钱包平台 => Copay 是一个支持桌面端和移动端的安全比特币钱包平台

KarthusLorin · 2018-12-15T07:30:11Z

TODO1/compromised-npm-package-event-stream.md

+ ### 如何防御这次攻击?
+通过使用静态分析工具来扫描 npm 包可能是个很棒的想法。但此次攻击对恶意的源代码进行了加密以避免被检测到。为了防止这种攻击，我们必须采取其他的的方法...
+这次特定攻击看起来可以同时在传统 web 页面和通过 Cordova（一个将 web APP 打包成移动端 APP 的工具）构建的 APP 中运行。我们已经发现了这次攻击可以通过使用 [CSP (Content Security Policy)](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP) 来阻止。这是用来指定页面可以与哪些 url 通信并将这些设定通过 web 服务器响应头来指定的标准。Cordova 甚至有其自身的方法 [mechanism](https://cordova.apache.org/docs/en/latest/reference/cordova-plugin-whitelist/index.html#navigation-whitelist) 来指定哪些第三方服务可以使用。然而，[Copay APP 似乎禁用了这个特性](https://github.com/bitpay/copay/blob/72a9e176c12c77b5dfc4590c88de73f28fa301b7/app-template/config-template.xml#L121)。
+CSP 可以有效地保证前端页面的安全。然而，这个特性没有被内置在 Node.js 中。[Intrinsic](https://intrinsic.com/) 这个 Node.js 包提供了让你可以设定你 APP 通信 URL 白名单的功能——这很像 CSP——而且其可以干更多事情。Intrinsic 可以被用来设置文件系统白名单、子进程白名单、`process` 的细分节点、TCP 和 UDP 连接甚至是细粒度的数据库访问。这些白名单是建立在每条请求路由的，这使得其比防火墙更加强大。


CSP—— => CSP ——

KarthusLorin · 2018-12-15T07:32:51Z

@leviding @CoderMing 校对完成

leviding · 2018-12-16T03:37:31Z

@CoderMing 可以修改啦

CoderMing · 2018-12-16T13:29:47Z

@leviding 校对完成

leviding · 2018-12-18T08:42:37Z

@CoderMing 本文为什么这么乱，是不是哪里出错了

leviding · 2018-12-19T02:50:19Z

@CoderMing 记得修改一下

CoderMing · 2018-12-19T05:17:31Z

@leviding 刚看了下原因，vscode 代码自动 lint 了。。内容没缺的，就是空格和换行符有出入，抱歉。格式我尽量做了修改。

leviding

Good！

leviding · 2018-12-20T02:45:41Z

@CoderMing 已经 merge 啦~ 快快麻溜发布到掘金然后给我发下链接，方便及时添加积分哟。

掘金翻译计划有自己的知乎专栏，你也可以投稿哈，推荐使用一个好用的插件。
专栏地址：https://zhuanlan.zhihu.com/juejinfanyi

translate compromised-npm-package-event-stream.md

b80171a

fanyijihua added the 校对认领 label Dec 14, 2018

fanyijihua mentioned this pull request Dec 14, 2018

被污染的 npm 包：event-stream #4798

Closed

CoderMing changed the title ~~translate compromised-npm-package-event-stream.md~~ 被污染的 npm 包：event-stream Dec 14, 2018

fanyijihua added the 正在校对 label Dec 14, 2018

leviding added the 前端 label Dec 14, 2018

fanyijihua removed the 校对认领 label Dec 14, 2018

caoyi0905 reviewed Dec 14, 2018

View reviewed changes

KarthusLorin reviewed Dec 15, 2018

View reviewed changes

leviding added the enhancement 等待译者修改 label Dec 16, 2018

根据译者建议进行修改

1ca28b8

leviding added 标注待管理员 Review and removed enhancement 等待译者修改 labels Dec 16, 2018

leviding added the WIP label Dec 18, 2018

CoderMing added 2 commits December 19, 2018 13:00

修改格式

cbd6183

添加校对者信息

6e48f25

leviding added WIP and removed WIP labels Dec 19, 2018

修改格式

9d6a438

leviding removed the WIP label Dec 20, 2018

译文格式优化

c2fb47e

leviding approved these changes Dec 20, 2018

View reviewed changes

leviding merged commit 208ab11 into xitu:master Dec 20, 2018

leviding added 翻译完成 and removed 标注待管理员 Review 正在校对 labels Dec 20, 2018

Provide feedback

Saved searches

Use saved searches to filter your results more quickly

被污染的 npm 包：event-stream #4851

被污染的 npm 包：event-stream #4851

CoderMing commented Dec 14, 2018

CoderMing commented Dec 14, 2018

KarthusLorin commented Dec 14, 2018

fanyijihua commented Dec 14, 2018

caoyi0905 commented Dec 14, 2018

fanyijihua commented Dec 14, 2018

caoyi0905 left a comment

caoyi0905 Dec 14, 2018

caoyi0905 Dec 14, 2018

CoderMing Dec 16, 2018

caoyi0905 Dec 14, 2018

caoyi0905 Dec 14, 2018

caoyi0905 Dec 14, 2018

KarthusLorin left a comment

KarthusLorin Dec 15, 2018

KarthusLorin Dec 15, 2018

KarthusLorin Dec 15, 2018

KarthusLorin Dec 15, 2018

KarthusLorin Dec 15, 2018

KarthusLorin commented Dec 15, 2018

leviding commented Dec 16, 2018

CoderMing commented Dec 16, 2018

leviding commented Dec 18, 2018

leviding commented Dec 19, 2018

CoderMing commented Dec 19, 2018

leviding left a comment

leviding commented Dec 20, 2018

被污染的 npm 包：event-stream #4851

被污染的 npm 包：event-stream #4851

Conversation

CoderMing commented Dec 14, 2018

CoderMing commented Dec 14, 2018

KarthusLorin commented Dec 14, 2018

fanyijihua commented Dec 14, 2018

caoyi0905 commented Dec 14, 2018

fanyijihua commented Dec 14, 2018

caoyi0905 left a comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

KarthusLorin left a comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

Choose a reason for hiding this comment

KarthusLorin commented Dec 15, 2018

leviding commented Dec 16, 2018

CoderMing commented Dec 16, 2018

leviding commented Dec 18, 2018

leviding commented Dec 19, 2018

CoderMing commented Dec 19, 2018

leviding left a comment

Choose a reason for hiding this comment

leviding commented Dec 20, 2018