我中招了：有人试图通过 git post-checkout 钩子窃取你的凭据

# 我被盯上了 来源：https://frankwiles.com/posts/i-got-targeted/ > **TL;DR：** 有人盯上了我，试图在我的笔记本电脑上运行任意代码。我怀疑他们的目的是获取我的 GitHub 账号和/或其他 REVSYS 客户（https://www.revsys.com/clients/）相关的访问权限，因为我在这些方面的权限相当多。 大家小心了。他们来了，而且非常隐蔽！ 我收到了一个看起来相当正常的项目咨询，问我们是否有兴趣和能力接手一个教育科技领域的 Web 应用项目。我们做这类工作的量不小，虽然目前排期很满，但我通常还是会跟进这类项目，万一客户能等到我们有空档再启动呢。 我提出可以安排一次电话沟通，并给了他们一个 Calendly 链接。他们要求我在开会前先阅读项目概要和细节，并签署一份保密协议（NDA）。 到这里为止一切都挺正常的。 然后他们分享了一个 Dropbox 文件夹，里面有几个包含 Markdown 文件的子文件夹。项目规格写得比较笼统，细节不多，但大致够描述他们声称需要的那个 MVP。 我一开始漏掉了那个 Dropbox 链接里的 `.git` 文件夹。 当我翻遍文件夹也没找到 NDA 或 NDA 模板时，我请他们通过邮件发给我。 他们回复说： > 我们把它放在 NDA 分支里，你切换到那个分支，填好后再在我们开会前发回来就好 **红旗飘扬在蓝色天空下的旗杆上**——就在这一刻，我意识到发生了什么，这根本不是一个真实的项目。我直接查看了 `.git/hooks` 文件夹，果然，里面放着所有 `\*.example` 示例钩子，外加一个真实的 `post-checkout` 钩子。 ## post-checkout 钩子？？？ 实际上没有人会在日常工作中用到这种钩子，所以我小心翼翼地打开它看看它在干什么。 它使用了一个 Vercel 应用来搭建命令与控制服务器（https://en.wikipedia.org/wiki/Botnet#Command_and_control），流程是：下载与操作系统对应的二进制文件，赋予其可执行权限，运行它，然后删除自身。 我立刻通知了 Dropbox 和 Vercel 的安全团队，希望他们能在攻击者得手之前封掉这些账号。可悲的是，他们在这场骗局中还冒充了一位无辜的开发公司老板。 这些混蛋今天没得手，但我可以想象一个粗心的人很容易就中招了。Git 是我们日常工作中如此常见的工作流。 请格外警惕，像老鹰一样盯紧你的凭据。从某种程度上来说，他们迟早会冲着你来的。 发布于 2026 年 10 月 2 日 Frank Wiles 头像（https://frankwiles.com/） Mastodon（https://frankwiles.social/@frank）http://www.linkedin.com/in/frankwiles GitHub（https://github.com/frankwiles/）Bluesky（https://bsky.app/profile/fwiles.bsky.social）X（https://twitter.com/fwiles） ### 订阅我的通讯 我写新内容时，偶尔会发邮件通知你。 在架构决策或团队动态方面遇到困难？任何技术、业务流程或创业方面的问题都可以问，我会尽力帮助你！ 提交一个问题（https://forms.frankwiles.com/ask-frank） frankwiles\.com（https://frankwiles.com/）©2026 Frank Wiles。保留所有权利。