LINUX.ORG.RU
ФорумTalks

ALL YOUR (VS)CODES ARE BELONG TO US

 , , ,


1

3

Привет, ЛОР!

Занимательное чтиво попалось мне. А именно, история о том, как, оказывается, можно без проблем загрузить в магазин дополнений к VSCode троянского коня и через полчаса тебе посыпится профит. Итак:

  1. Берём популярную цветовую тему.
  2. Меняем слегка название, пару цветов, рисуем логотип, добавляем вредоносный код. В данном случае, код просто отправляет содержимое открытого файла на наш сервер.
  3. Покупаем домен с названием нашей темы, настраиваем его и т.д.
  4. Заливаем тему в магазин приложений VSCode. Домена достаточно, чтобы наша тема получила официальную зелёную галочку рядом с именем. В package.json мы при этом можем указать ссылку на любой репозитарий на гитхабе, никто это не проверяет. Поэтому указываем репозитарий без зловреда.
  5. Ждём.
  6. ???????????
  7. PROFIT!!!11

Некие чуваки вот так всё сделали и уже на следующее утро их вредоносная тема была установлена сотней с лишним аболтусов, засветилась на главной странице с дополнениями к VSCode, а им самим стал прилетать в том числе проприетарный код из всяких крупных копрораций.

Мораль истории: ну ты понел.

Ссылка для !Ъ: https://medium.com/@amitassaraf/the-story-of-extensiontotal-how-we-hacked-the-vscode-marketplace-5c6e66a0e9d7

★★★★★

Последнее исправление: hateyoufeel (всего исправлений: 3)
Ответ на: комментарий от hateyoufeel

Ну да. Очень положительно влияет на бизнес.

Ну как бы они все это время работали и были живы. Более того, они даже партнерились с MS в 2007.

cumvillain
()
Ответ на: комментарий от u5er

Так вот, о рекомендациях и тд. На форуме есть поиск. И теги. Идешь и смотришь количество упоминаний и рекомендаций вскода и этого твоего говна. Потом вспоминаешь, что вскод вдвое моложе. Потом следишь за своей кормой, а за своей я сам прослежу.

thesis ★★★★★
()
Последнее исправление: thesis (всего исправлений: 1)
Ответ на: комментарий от cumvillain

Более того, они даже партнерились с MS в 2007.

«Предложение, от которого невозможно отказаться».

Вообще, есть очень много примеров, когда такая маленькая компания даже выигрывает суд, но судебные расходы в итоге приводят к её закрытию.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от andalevor

Ты серьёзно? Вот сейчас бы каждый день начинать с визита в их магазин, бегать по всем нужным дополнениям и проверять версии, качать, ставить вручную. Это же так просто :) Лучше уж тогда упомянутый Emacs с MELPA.

Начали с того что там что-то анально огорожено, закончили тем, что опенсурсное сообщество не смогло написать свой UI для стора, а опенсурные юзеры слишком ленивы, чтобы команду в консоли выполнить. Ну вот поэтому VS Code и рулит.

cumvillain
()
Ответ на: комментарий от hateyoufeel

«Предложение, от которого невозможно отказаться».

Просто MS прокопали в ним жыдовые норы и коварные жыды подменили соглашения.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от thesis

Да, они на gitea основали codeberg.org, а потом форкнули gitea, потому что стало понятно что им нужно больше контроля, чтобы дальше пилить фордж. Но это буквально полгода назад случилось.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 2)
Ответ на: комментарий от thesis

Ещё до вскода был вим. И каких-то киллер фич в вскоде я по сравнению в вимом или неовимом не вижу. Зато у последних плюс в куда более скромном отжоре памяти.

andalevor ★★★
()
Ответ на: комментарий от andalevor

У neovim/vim есть большая проблема с рендерингом LSP (где больше одного ЯП в буфере), в силу родовых травм vim. Сейчас это по большей части решили через treesitter, но все же.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от thesis

Потом вспоминаешь, что вскод вдвое моложе.

И каким это боком тут? Про возраст в твоём определении нормального блокнота ничего не было. А ещё лучше, собери мысли в кучу и дай внятное определение «нормальный блокнот».

u5er ★★
()
Ответ на: комментарий от cumvillain

Никого не волнуют срачи дедов из GNU, FSF и прочих бесполезных организаций. Ну то есть вот вообще никого. То, что это волнует тебя – твоя проблема.

При чём тут срачи. Я говорил о том, что свободное по и по с открытой лицензией это не одно и то же. Не надо путать и вводить людей в заблуждение. Если конкретно тебе разница не важна, так и напиши. Не надо голословных заявлений с «никого».

Статистической

При чём тут статистика, если в примере одинаковые ноуты. Ладно бы я привёл сравнение ноуты разных производителей, но с похожим железом. Можно было бы говорить о необходимости большой выборки.

Если бы один стоил 50k, а второй 60k, о чем-то можно было бы говорить.

Учитывая лицензию на венду, разница примерно такой и должна была быть, если бы не особые соглашения. Ещё раз, если тебе такая разница одинаковых ноутов ни о чём не говорит, то поздравляю. Некоторым говорит.

ВСЕМ НАСРАТЬ НА РАЗНИЦУ В ТЫСЯЧУ РУБЛЕЙ

Это понятно. На тысячу и мне насрать. Не настрать на то, что за этой тысячей кроется.

andalevor ★★★
()
Ответ на: комментарий от PhD

Я просто оставлю это здесь.

Ссылка на ссылку – это нарушение прав Ъ!

Яхз, не слежу за этой драмой. У меня сейчас Forgejo на моём сервере, всё норм.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от cumvillain

Только не тобой, лол. Тебя научат орать другое – будешь орать другое.

Интересное у тебя восприятие реальности. Если для тебя появление информации в поле зрения человека == «научили». То да. Будет другая информация, где мелкомягкие откроют все свои продукты, сделают их свободными и перестанут кошмарить пользователей, буду орать это другое.

Ну то есть речь идет о комментарии какого-то линейного хрена на зарплате, которого скорее всего после этого и уволили? Ясно-понятно.

Хочешь сказать, что хрен не прав? Понятно, что мс не будет судиться с обычными пользователями. Распространённая практика бороться именно с разработчиками кряков, а не с теми, кто их использует дома под подушкой. Но дубинка на всякий случай имеется и это нужно держать в голове.

andalevor ★★★
()
Ответ на: комментарий от hateyoufeel

В NixOS огромная пачка дополнений опакечена.

Хороший дистр. Как-то пробовал, но давненько. Тогда даже у установкой были проблемы. Надо будет как-нибудь ещё попробовать. На сколько сложно пакетить для себя стороннее?

andalevor ★★★
()
Ответ на: комментарий от cumvillain

И репутация у ms отличная
отличная

от других.

anc ★★★★★
()
Ответ на: комментарий от u5er

И каким это боком тут?

Это важно для подсчета и сравнения количества упоминаний, ну. Ты сам-то соберись.

thesis ★★★★★
()
Ответ на: комментарий от cumvillain

Начали с того что там что-то анально огорожено

Так и есть. МС оградил свой стор от других сборок своего «свободного» продукта.

опенсурсное сообщество не смогло написать свой UI для стора

Опять сложно распарсить. Если речь про сайтик с дополнениями, то вот https://open-vsx.org/

опенсурные юзеры слишком ленивы, чтобы команду в консоли выполнить

Ты не понял мою мысль. Один раз не проблема запустить. Но ведь придётся потом и обновлять вручную. Может кому-то и норм.

andalevor ★★★
()
Ответ на: комментарий от u5er

Знаешь, так жирные тупые скандальные бабищи делают, пытаются собрать толпу воплями.

Кстати, про сфтп я ему уже раньше написал.

thesis ★★★★★
()
Ответ на: комментарий от thesis

Знаешь, так жирные тупые скандальные бабищи делают, пытаются собрать толпу воплями.

Так - это вот так? Я всё ещё жду от тебя внятного определения «нормальный блокнот» ;)

u5er ★★
()
Ответ на: комментарий от andalevor

В NixOS огромная пачка дополнений опакечена.

Хороший дистр. Как-то пробовал, но давненько. Тогда даже у установкой были проблемы. Надо будет как-нибудь ещё попробовать. На сколько сложно пакетить для себя стороннее?

Зависит от стороннего. Если это какая-нибудь анальная проприетарщина или хтонь на электроне, придётся страдать. Если что-то стандартное, то без проблем.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от andalevor

там просто скриптами все подряд собирается, никто не проверяет ничего, любое вредоносное говно может жить годами, и даже где руками собирают случается xz

rtxtxtrx ★★
()
Ответ на: комментарий от andalevor

Так и есть. МС оградил свой стор от других сборок своего «свободного» продукта.

Я тут полуркал… нет. Не оградил, чуваки пишут “поменяйте url на url ms” и все будет работать.

Вот полный файл:

{
  "nameShort": "Visual Studio Code",
  "nameLong": "Visual Studio Code",
  "extensionsGallery": {
    "serviceUrl": "https://marketplace.visualstudio.com/_apis/public/gallery",
    "cacheUrl": "https://vscode.blob.core.windows.net/gallery/index",
    "itemUrl": "https://marketplace.visualstudio.com/items"
  }
}

Ты даже здесь прогнал, лалка.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от u5er

Я дал тебе это определение в первом же ответе.

thesis ★★★★★
()
Ответ на: комментарий от andalevor

Интересное у тебя восприятие реальности. Если для тебя появление информации в поле зрения человека == «научили».

Дык да. Я тебя спрашивал, что такого мс натворил, ты так ничего и не смог придумал. То есть сам ты не знаешь, просто повторил за кем-то.

Понятно, что мс не будет судиться с обычными пользователями.

Ты начал с того, что мс тебя засудит. Теперь говоришь — не засудит. Определись уже.

cumvillain
()
Ответ на: комментарий от andalevor

При чём тут срачи. Я говорил о том, что свободное по и по с открытой лицензией это не одно и то же.

Но разницу объяснить не можешь. Тоже научили?

cumvillain
()
Ответ на: комментарий от cumvillain

Ты же проверил легальность своего совета, правда? Почему-то разрабы форка vscodium считают, что нельзя и ссылаются сюда

https://github.com/microsoft/vscode/issues/31168

Где пишут, что VS Code ВНЕЗАПНО проприетарный продукт и что из кодовой базы убраны ключики для доступа к маркету мс.

https://github.com/Microsoft/vscode/issues/1557

Тут снова пишут, что магаз расширений это фича для белых людейофициальной сборки от мс. Так что не забывай к таким вредным советам рядом размещать дисклеймер, что пользователи добавляют ключики из проприетарной сборки к себе на свой страх и риск.

andalevor ★★★
()
Ответ на: комментарий от cumvillain

Дык да. Я тебя спрашивал, что такого мс натворил, ты так ничего и не смог придумал. То есть сам ты не знаешь, просто повторил за кем-то.

Что за бред ты пишешь? Чего ты хочешь? Чтобы я тебе откуда-то вытащил факап мелкософта про который никто не в курсе? Разупорись))

Ты начал с того, что мс тебя засудит.

Прокачай навык чтения. Я писал, что была забавная история и картинку приложил.

andalevor ★★★
()
Ответ на: комментарий от cumvillain

Но разницу объяснить не можешь. Тоже научили?

Научили лол. Снова твоё альтернативное понимание вселенной)) Да научили. Когда-то тоже путал, а потом загуглил и понял в чём разница. Если бы не понял, то не говорил бы тебе об этом. Разжевывать тебе тут не хочу, надеюсь, что ты осилишь вбить строчку в поиск и прочитать хотя бы пару предложений. Просто чтобы мозговину прокачать :)

andalevor ★★★
()
Ответ на: комментарий от andalevor

Ты же проверил легальность своего совета, правда?

Конечно!

Почему-то разрабы форка vscodium считают, что нельзя

Нельзя распространять свою сборку с включенным стором. Включить его самостоятельно никто тебе не мешает:

yes, you can configure product.json to point to the official marketplace

Ты хоть читай ссылки, которые постишь, ну.

cumvillain
()
Ответ на: комментарий от andalevor

Что за бред ты пишешь? Чего ты хочешь? Чтобы я тебе откуда-то вытащил факап мелкософта

Это называется «пруф».

про который никто не в курсе?

Это называется «пруфов нет».

cumvillain
()
Ответ на: комментарий от andalevor

Научили лол. Снова твоё альтернативное понимание вселенной)) Да научили. Когда-то тоже путал, а потом загуглил и понял в чём разница.

Не понял, потому что не можешь рассказать. Ты школу-то закончил? Помнишь как дебаты работают? Не можешь обосновать – соснул.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от cumvillain

Как давно самолеты стали инструментом войны? Ну примерно в первую мировую.

Я спросил «И давно самолёты стали инструментом?» Слова война в моем вопросе не было.

anc ★★★★★
()
Ответ на: комментарий от anc

Я спросил «И давно самолёты стали инструментом?» Слова война в моем вопросе не было.

Потому что ты не умеешь писать крутые тексты. Инструмент войны звучит куда круче, чем просто инструмент. Но разницы нет, самолет – чисто утилитарная штука, как молоток.

cumvillain
()
Ответ на: комментарий от Kolins

Зачем текстовому редактору вообще доступ в инет…

Что за тупой вопрос? Чтобы писать на ЛОР, конечно же!

https://ibb.co/zPRFjyL

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от cumvillain

Ты хоть читай ссылки, которые постишь, ну.

Читаю не переживай. Такая же ситуация, про которую ты написал про линейного хера. Будет официальная позиция мелкософта – другое дело. Пока не видел. Почему-то разрабы vscodium в своей вики не разместили совет по самостоятельному подключению официального мс стора.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Читаю не переживай. Такая же ситуация, про которую ты написал про линейного хера. Будет официальная позиция мелкософта – другое дело. Пока не видел.

Ты просто трусливая сучка MS, мы это уже поняли. То боишься что они тебя засудят за выключение рекламы, теперь боишься что засудят за включение репозитория. Перестань быть таким ссыклом уже, ну.

Почему-то разрабы vscodium в своей вики не разместили совет по самостоятельному подключению официального мс стора.

Потому что разрабы vscodium топят за опенсурс.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от cumvillain

Это называется «пруф».

Пруфы тут уже были. Если ты не в курсе, можешь опять же погуглить если ты вдруг ещё не родился в тот период когда кучу грязного белья мс вывалили на общее обозрение. Не понимаю что ты от меня хочешь. Чтобы я бегал по интернетам и собирал тебе всю эту информацию? Унылое упражнение. Если тебе самому лень напряги чатжпт.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Пруфы тут уже были.

Но не твои.

Если ты не в курсе, можешь опять же погуглить если ты вдруг ещё не родился в тот период когда кучу грязного белья мс вывалили на общее обозрение.

Да я уже понял что ты не знаешь почему не любишь MS. Тебя научили. Соболезную.

cumvillain
()
Ответ на: комментарий от cumvillain

Не можешь обосновать – соснул.

Уровень аргументации зашкаливает. Я когда кого-то учу, никогда не даю готовых ответов чтобы человек хоть чуть-чуть напряг извилины. Вот тебе подсказка: продукт может быть опубликован под свободной лицензией, что допускает копирование, изменение и распространение, но сам продукт при этом не является свободным. Давай. Напряги извилины и подумай как такое может быть, я в тебя верю.

andalevor ★★★
()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)