প্যাকেজ ইনস্টল করুন। এর স্ক্রিপ্ট চালান।

কীভাবে এটি নজর এড়িয়ে যায়

আপনার এজেন্ট একটি ডিপেন্ডেন্সি ইনস্টল করে। প্যাকেজ ম্যানিফেস্টও একটি স্ক্রিপ্টের নাম উল্লেখ করে যা ইনস্টলেশনের সময় চলে। সেটআপ মনে হওয়া জিনিসে কোড এক্সিকিউশন থাকতে পারে যা আলাদাভাবে পর্যালোচনার দাবি রাখে।

একটি প্রজেক্ট সম্পূর্ণ সাধারণ বিল্ড ধাপের জন্য ইনস্টল হুক ব্যবহার করতে পারে। এতে একটি অপ্রত্যাশিত কমান্ডও থাকতে পারে। গুরুত্বপূর্ণ বিষয় হলো স্ক্রিপ্টটি ম্যানিফেস্টে থাকে, যেখানে শুধু টপ-লেভেল ইনস্টল কমান্ড দেখলে এটি মিস হতে পারে।

ClawMetry কী শনাক্ত করে

ClawMetry সমর্থিত ইনস্টল লাইফসাইকেল হুকের জন্য ওয়ার্কস্পেস প্যাকেজ ম্যানিফেস্ট স্ক্যান করে। এটি একটি প্যাকেজ ম্যানিফেস্ট এক্সিকিউশন সতর্কতা তৈরি করে এবং হুকটি শনাক্ত করে। স্ক্যানার ফাইলটি পড়ে; এটি খুঁজে পাওয়া কমান্ড চালায় না।

finding পরিবর্তনকারী পার্থক্য

পরীক্ষিত উদাহরণে একটি postinstall স্ক্রিপ্ট আছে যা একটি বিল্ড প্রোগ্রামের নাম দেয় এবং একটি সতর্কতা তৈরি করে। একই প্রোগ্রাম সাধারণ test স্ক্রিপ্টের অধীনে রাখলে এই ডিটেক্টর নীরব থাকে। পার্থক্য হলো ম্যানিফেস্ট কখন বলে প্রোগ্রামটি চলবে।

{
  "kind": "package_manifest_exec",
  "severity": "warning",
  "evidence": {
    "hooks": [
      "postinstall"
    ],
    "hits": [
      {
        "hook": "postinstall",
        "command": "node build.js",
        "tool": null,
        "alarm": null
      }
    ],
    "manifest": "package.json",
    "tools": [],
    "observed": "package_manifest"
  }
}

পরবর্তী কী পরীক্ষা করবেন

হুক কমান্ড এবং এটি যে প্রোগ্রামের রেফারেন্স দেয় তা পড়ুন। সেই ইনস্টল আচরণ প্রজেক্টে উপযুক্ত কিনা এবং ডিপেন্ডেন্সি উৎস বিশ্বস্ত কিনা পরীক্ষা করুন। ইনস্টলেশন ইতিমধ্যে হয়ে থাকলে, পরিবেশ গ্রহণ করার আগে আলাদাভাবে প্রকৃত প্রভাব পর্যালোচনা করুন।

1. লাইফসাইকেল হুক পড়ুন
2. উল্লেখিত প্রোগ্রামটি পরীক্ষা করুন
3. প্রত্যাশিত ইনস্টল আচরণ পর্যালোচনা করুন