PyPI 镜像

简介

PyPI(Python Package Index)是Python编程语言的软件存储库。开发者可以通过PyPI查找和安装由Python社区开发和共享的软件，也可以将自己开发的库上传至PyPI。

下载地址：https://mirrors.aliyun.com/pypi/

公网配置方法

a. 找到下列文件

~/.pip/pip.conf

b. 在上述文件中添加或修改:

[global]
index-url = http://mirrors.aliyun.com/pypi/simple/

[install]
trusted-host=mirrors.aliyun.com

ECS内网配置方法

a. 找到下列文件

~/.pip/pip.conf

b. 在上述文件中添加或修改:

[global]
index-url=http://mirrors.cloud.aliyuncs.com/pypi/simple/

[install]
trusted-host=mirrors.cloud.aliyuncs.com

相关链接

• 官方主页：https://pypi.org/

软件包预警

背景

Python库的官方仓库pypi允许开发者自由上传软件包，这会导致某些攻击者利用这点构造恶意包进行供应链攻击，在用户安装包或者引入包时触发恶意行为。目前国内镜像源与官方镜像源往往并不是完全一致，国内源普遍采用的是增量更新机制，也就是官方删除的恶意包国内不会同步删除。而这一部分恶意包可能会在很长一段时间内对国内用户造成影响。

阿里云安全-薪火实验室结合自建检测引擎-伏魔引擎长期对供应链恶意样本进行监控和预警，保护阿里pypi源安全。

删除包列表

以下具有安全威胁的软件包阿里pypi源已对应删除，开发者可通过 pip list 命令对于机器上已经安装的pypi包进行自查，如发现安装有以下具有安全风险的包，建议尽快删除修复。

恶意类型解释

恶意后门：恶意程序可以在用户不知情的情况下直接安装启动运行，后台开启特殊接口，方便黑客再次进入受害者计算机，通常会添加非法的启动项，服务等用于长期驻留

反弹shell：黑客在获取执行权限后，可以通过在受害者机器上建立shell会话连接至黑客计算机，黑客可以通过shell会话直接下发命令控制受害者计算机。

获取敏感信息：非法窃取受害者计算机相关敏感信息，比如系统、软件账号密码、配置，系统截屏，私密文件内容，钱包信息等，并将这些信息通过各种手段泄露给黑客服务器。

远程命令执行：恶意程序启动会获取黑客服务器信息，并根据远程数据，执行可被黑客控制的远程代码，用于控制受害者机器，执行黑客下发的指令等。

挖矿木马：木马在用户不知情的情况下，使用计算机算力对各类数字货币进行挖矿获利，占用机器大量CPU、GPU资源，严重影响其他应用执行。

篡改剪贴板加密货币地址：恶意程序会监视机器剪贴板，一旦发现用户复制加密货币钱包地址，便将剪贴板中地址替换成黑客指定的钱包地址，用户便可能在不知情中向攻击者转账数字货币。

参考

• https://heimdalsecurity.com/blog/malicious-pypi-packages-used-to-mine-cryptocurrency/

• https://thehackernews.com/2021/11/11-malicious-pypi-python-libraries.html

• https://github.com/rsc-dev/pypi_malware

• https://www.helpnetsecurity.com/2019/07/18/malicious-python-packages/

• https://snyk.io/blog/malicious-packages-found-to-be-typo-squatting-in-pypi/

• https://www.nbu.gov.sk/skcsirt-sa-20170909-pypi/

• https://www.itsfoss.net/malicious-packages-mitmproxy2-and-mitmproxy-iframe-removed-from-pypi-directory/

• https://www.freebuf.com/articles/network/284753.html

• https://security.bytedance.com/techs/wuheng-lab-share-spite-components

• https://bytedance.feishu.cn/sheets/shtcnMIXEYzkTkmruPS9NwMl3ie?sheet=11a166

• https://paper.seebug.org/1562/

• https://security.tencent.com

• https://nakedsecurity.sophos.com/zh/2018/10/30/snakes-in-the-grass-malicious-code-slithers-into-python-pypi-repository/

• http://www.djbh.net/webdev/web/BuildImproveAction.do?p=getGzdt&id=8a8182566ed3d102016fad4d5a250042

• https://security.snyk.io/

• https://github.com/pypa/pypi-support/