हे कसे दुर्लक्षित राहते
तुमचा एजंट एक डिपेंडन्सी इन्स्टॉल करतो. पॅकेज मॅनिफेस्ट इन्स्टॉलेशन दरम्यान चालणारी स्क्रिप्टही नाव देतो. सेटअपसारखे दिसणाऱ्यात कोड एक्झिक्यूशन असू शकते जे स्वतंत्र पुनरावलोकन मागते.
प्रोजेक्टमध्ये इन्स्टॉल हुक्स सामान्य बिल्ड स्टेप्ससाठी असू शकतात. त्यात अनपेक्षित कमांडही असू शकते. महत्त्वाचे म्हणजे स्क्रिप्ट मॅनिफेस्टमध्ये असते, जिथे ती टॉप-लेव्हल इन्स्टॉल कमांड पाहताना सुटू शकते.
ClawMetry काय ओळखते
ClawMetry वर्कस्पेस पॅकेज मॅनिफेस्ट समर्थित इन्स्टॉल लाइफसायकल हुक्ससाठी स्कॅन करते. ते पॅकेज मॅनिफेस्ट एक्झिक्यूशन चेतावणी देते आणि हुक ओळखते. स्कॅनर फाईल वाचते; आढळलेली कमांड ते चालवत नाही.
Finding बदलवणारा फरक
Trigger करणारे उदाहरण
postinstall: node build.js
चेतावणी निष्कर्ष
शांत तुलना
test: node build.js
या detector साठी कोणतेही finding नाही.
तपासलेल्या उदाहरणात postinstall स्क्रिप्ट बिल्ड प्रोग्रामचे नाव देते आणि चेतावणी निर्माण करते. तोच प्रोग्राम सामान्य test स्क्रिप्टखाली ठेवल्यास हा डिटेक्टर शांत राहतो. फरक असतो तेव्हा मॅनिफेस्ट प्रोग्राम कधी चालेल हे सांगतो.
Detector result तपासा
{
"kind": "package_manifest_exec",
"severity": "warning",
"evidence": {
"hooks": [
"postinstall"
],
"hits": [
{
"hook": "postinstall",
"command": "node build.js",
"tool": null,
"alarm": null
}
],
"manifest": "package.json",
"tools": [],
"observed": "package_manifest"
}
}उदाहरण कसे तपासले गेले
ही उदाहरणे लेखी event data किंवा disposable configuration files सह प्रकाशित detector चे मूल्यांकन करतात. व्हिडिओ त्या वर्तनांचे उदाहरण देतात. ते live एजंट्स किंवा product interface चे रेकॉर्डिंग नाहीत. उदाहरणांमधील कोणताही command execute केला गेला नाही.
परिणाम या inputs साठी वर्तन स्थापित करतो. तो runtime ingestion, प्रतिबंध किंवा खरी तडजोड स्थापित करत नाही. Pinned source contract तपासा.
पुढे काय तपासायचे
हुक कमांड आणि त्यात संदर्भित प्रोग्राम वाचा. इन्स्टॉल वर्तन प्रोजेक्टमध्ये योग्य आहे का आणि डिपेंडन्सी स्रोत विश्वसनीय आहे का ते तपासा. इन्स्टॉलेशन आधीच झाले असल्यास, वातावरण स्वीकारण्यापूर्वी प्रत्यक्ष परिणाम स्वतंत्रपणे पुनरावलोकन करा.
- लाइफसायकल हुक वाचा
- संदर्भित प्रोग्राम तपासा
- अपेक्षित इन्स्टॉल वर्तन पुनरावलोकन करा
हा signal काय स्थापित करतो
इन्स्टॉल हुक आपोआप धोकादायक नसतो. हा निष्कर्ष मॅनिफेस्ट एंट्री नोंदवतो, इन्स्टॉलेशन किंवा एक्झिक्यूशन झाले याचा पुरावा नाही.