Nasıl gözden kaçıyor
Ajanınız bir bağımlılık kuruyor. Paket manifestosu ayrıca kurulum sırasında çalışan bir betik belirtiyor. Kurulum gibi görünen şey, kendi incelemesini hak eden kod yürütmeyi içerebilir.
Bir proje, tamamen olağan derleme adımları için kurulum kancaları kullanabilir. Beklenmedik bir komut da içerebilir. Önemli nokta, betiğin manifestoda bulunmasıdır; yalnızca üst düzey kurulum komutunu incelerseniz gözden kaçabilir.
ClawMetry neyi tespit eder
ClawMetry, çalışma alanı paket manifestosunu desteklenen kurulum yaşam döngüsü kancaları için tarar. Paket manifestosu yürütme uyarısı oluşturur ve kancayı tanımlar. Tarayıcı dosyayı okur; bulduğu komutu yürütmez.
Bulguyu değiştiren fark
Tetikleyen örnek
postinstall: node build.js
Uyarı bulgusu
Sessiz karşılaştırma
test: node build.js
Bu dedektör için bulgu yok.
İncelenen örnekte bir derleme programı belirten bir postinstall betiği var ve uyarı üretiliyor. Aynı programı olağan bir test betiği altına koyun; bu dedektör sessiz kalıyor. Ayrım, manifestonun programın ne zaman çalışacağını söylemesiyle ilgilidir.
Dedektör sonucunu incele
{
"kind": "package_manifest_exec",
"severity": "warning",
"evidence": {
"hooks": [
"postinstall"
],
"hits": [
{
"hook": "postinstall",
"command": "node build.js",
"tool": null,
"alarm": null
}
],
"manifest": "package.json",
"tools": [],
"observed": "package_manifest"
}
}Örnek nasıl kontrol edildi
Bu örnekler, yayımlanan dedektörü yazılmış olay verisi veya tek kullanımlık yapılandırma dosyalarıyla değerlendirir. Videolar bu davranışları göstermektedir. Bunlar canlı ajan veya ürün arayüzü kayıtları değildir. Örneklerdeki hiçbir komut çalıştırılmamıştır.
Sonuç bu girdiler için davranışı ortaya koyar. Çalışma zamanı alımını, önlemeyi veya gerçek bir ihlali kanıtlamaz. Sabitlenmiş kaynak sözleşmesini incele.
Sonraki kontrol noktaları
Kanca komutunu ve başvurduğu programı okuyun. Bu kurulum davranışının projeye ait olup olmadığını ve bağımlılık kaynağının güvenilir olup olmadığını kontrol edin. Kurulum zaten gerçekleştiyse, ortamı kabul etmeden önce gerçek etkileri ayrıca inceleyin.
- Yaşam döngüsü kancasını okuyun
- Başvurulan programı inceleyin
- Beklenen kurulum davranışını inceleyin
Bu sinyalin ortaya koyduğu
Kurulum kancası otomatik olarak düşmanca değildir. Bu bulgu, kurulumun veya yürütmenin gerçekleştiğine dair kanıt değil, manifesto girişini raporlar.