感觉这个招聘来盗资产的

2 天前
 evada

https://ex.noerr.eu.org/t/1147530

我提交申请后,让我用 https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate 这个项目模板开发一个页面。需求看起来也挺正常的,但是我在 github 打开这个仓库有个 png 的内容居然是代码,我有点怀疑代码内容是来盗本地私钥来盗币的。

https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate/blob/main/src/assets/logo.png

这个 png 里面是内容,然后 https://github.com/stellarhatchmilky/Front-End-Test-Boilerplate/blob/33c53464413842c1f92dc8635dd6b318393a296d/config-overrides.js#L7 这里执行了这个 png 里面的代码,虽然代码内容我看不太懂,这个操作就很危险。

有懂行的哥们帮忙看一下,如果没问题让 @Livid 把这个账号 ban 了

顺便说一下,千万不要把代码下载下来执行,很危险!!!!

4156 次点击
所在节点    反馈
54 条回复
evada
2 天前
@eldenboy 我 fork 了一份,供大家参观,再次说明,不下载,不运行。

https://github.com/yanguoyu/Front-End-Test-Boilerplate
rionfox
2 天前
web3 黑暗森林,名不虚传😂
fujizx
2 天前
项目不见了,好奇 op 是怎么发现 png 是代码的
evada
2 天前
@fujizx 我看有 2 个 png ,准备在网页预览下看有什么不同,网页上打开就是一段代码。
fujizx
2 天前
@evada 好细!
dfkjgklfdjg
2 天前
还是落后了。我还以为是来白嫖面试的,没想到是盗密钥的。
不过真能信会上这个当的,玩币也是韭菜吧……
dfkjgklfdjg
2 天前
@evada #21 ,得在 README 里面说明一下情况吧。别到时候有人上当给你举报了
BeforeTooLate
2 天前
@evada 这 png 直接不可以预览打开就说代码,如果本身 png 可以正常打开预览,代码是嵌入到原始文件里面岂不是更加无法发现
evada
2 天前
@dfkjgklfdjg 你说的很有道理,我加上了
xuejianxianzun
2 天前
删库还挺快的
BeforeTooLate
2 天前
@fujizx png 无法打开图片预览,github 上打开就是代码,如果 png 打开还是图片估计 op 就不会发现了。
evada
2 天前
@BeforeTooLate 是的,这个事情以后要多个心眼了,如果是在本身的 png 里面嵌入一段代码更难发现。
nuansediao
2 天前
该说不说,op 的安全意识是真的强~~估计换我凉凉了。
qwerty01446
2 天前
@evada #24 好强的观察力
fujizx
2 天前
@BeforeTooLate 别说图片了。。直接在代码里投毒我都不一定能发现,一个项目那么多文件。。
brave6
2 天前
jiujiutang
2 天前
很细👍
sillydaddy
2 天前
楼主我记得你,是空投 SOL 给大家发福利的,是吧?你这是被人盯上了,不怕贼偷,就怕贼惦记。以后得小心了。

还有 @carson8899 这个有 40 个 SOL 的老板。
NMmmm
2 天前
啊,哥们这怎么定位的。你这太细了吧
zgzhang
2 天前
一个安全从业人员都觉得厉害,这个投递的姿势还是非常有针对性的,以前的思路还局限在钓鱼邮件,脉脉钓鱼 HR ,这种针对程序员的,迷惑性还真的是大,op 也是细致+运气好,如果这个人活再细致点,比如代码不写在本地的 logo 文件中,而是使用投毒的供应链包,被发现的概率更低。只能说防不胜防

这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://ex.noerr.eu.org/t/1147684

V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX