frankwiles.com

I got targeted

译：我被盯上了：假客户项目里的 git hook

  • NDA + Dropbox 仓库藏 .git，checkout 某分支会触发 post-checkout hook

  • Hook 从 Vercel 拉 OS 专属二进制，偷 GitHub / 客户相关凭证

  • 陌生仓库先放沙箱或 VM，再 checkout