یہ کیسے نظرانداز ہو جاتا ہے
آپ کا ایجنٹ ایک انحصار انسٹال کرتا ہے۔ پیکیج مینی فیسٹ ایک اسکرپٹ کا نام بھی لیتا ہے جو انسٹالیشن کے دوران چلتی ہے۔ جو سیٹ اپ لگتا ہے وہ کوڈ عمل آوری پر مشتمل ہو سکتا ہے جو اپنے جائزے کی ضرورت رکھتی ہے۔
ایک پراجیکٹ مکمل طور پر عام بلڈ مراحل کے لیے انسٹال ہکس استعمال کر سکتا ہے۔ اس میں ایک غیر متوقع کمانڈ بھی ہو سکتی ہے۔ اہم بات یہ ہے کہ اسکرپٹ مینی فیسٹ میں رہتی ہے، جہاں اگر آپ صرف اعلی سطح کی انسٹال کمانڈ جانچیں تو یہ چھوٹ سکتی ہے۔
ClawMetry کیا detect کرتا ہے
ClawMetry ورک اسپیس پیکیج مینی فیسٹ میں سپورٹڈ انسٹال لائف سائیکل ہکس اسکین کرتا ہے۔ یہ پیکیج مینی فیسٹ عمل آوری تنبیہ اٹھاتا ہے اور ہک کی شناخت کرتا ہے۔ اسکینر فائل پڑھتا ہے، اسے ملنے والی کمانڈ عمل میں نہیں لاتا۔
وہ فرق جو finding بدل دیتا ہے
trigger کرنے والی مثال
postinstall: node build.js
تنبیہی نتیجہ
خاموش موازنہ
test: node build.js
اس detector کے لیے کوئی finding نہیں۔
جانچے گئے مثال میں ایک postinstall اسکرپٹ ہے جو ایک بلڈ پروگرام کا نام لیتی ہے اور تنبیہ پیدا کرتی ہے۔ اسی پروگرام کو عام ٹیسٹ اسکرپٹ کے تحت رکھیں اور یہ ڈیٹیکٹر خاموش رہتا ہے۔ فرق یہ ہے کہ مینی فیسٹ کب کہتا ہے کہ پروگرام چلے گا۔
detector نتیجہ جانچیں
{
"kind": "package_manifest_exec",
"severity": "warning",
"evidence": {
"hooks": [
"postinstall"
],
"hits": [
{
"hook": "postinstall",
"command": "node build.js",
"tool": null,
"alarm": null
}
],
"manifest": "package.json",
"tools": [],
"observed": "package_manifest"
}
}مثال کو کیسے جانچا گیا
یہ مثالیں تیار کردہ event data یا قابل استعمال configuration files کے ساتھ شائع شدہ detector کا جائزہ لیتی ہیں۔ ویڈیوز ان رویوں کو واضح کرتی ہیں۔ یہ لائیو ایجنٹس یا پروڈکٹ interface کی ریکارڈنگ نہیں ہیں۔ مثالوں میں کوئی command execute نہیں کی گئی۔
نتیجہ ان inputs کے لیے رویہ قائم کرتا ہے۔ یہ runtime ingestion، روک تھام یا حقیقی خطرے کو ثابت نہیں کرتا۔ pinned source contract جانچیں.
آگے کیا چیک کریں
ہک کمانڈ اور جس پروگرام کا وہ حوالہ دیتی ہے پڑھیں۔ جانچیں کہ آیا وہ انسٹال رویہ پراجیکٹ میں موزوں ہے اور انحصار کا ماخذ قابل اعتبار ہے۔ اگر انسٹالیشن پہلے سے ہو چکی ہے تو ماحول قبول کرنے سے پہلے اصل اثرات الگ سے جانچیں۔
- لائف سائیکل ہک پڑھیں
- حوالہ شدہ پروگرام جانچیں
- متوقع انسٹال رویے کا جائزہ لیں
یہ signal کیا ثابت کرتا ہے
انسٹال ہک خودبخود دشمنانہ نہیں ہے۔ یہ نتیجہ مینی فیسٹ اندراج رپورٹ کرتا ہے، اس بات کا ثبوت نہیں کہ انسٹالیشن یا عمل آوری ہوئی۔