開源跑路的程式設計師?B站工程原始碼洩露,Github標星9k+,內含部分使用者名稱密碼
大資料文摘出品
作者:蔣寶尚、宋欣儀
昨兒個,文摘菌日常在B站上看看本山大爺的視訊,聽聽吳亦凡的大碗麵。突然彈幕畫風突變,評論區集體喊話B站,“你家後院著火了”。
原來,Bilibili的網站後臺原始碼被髮到了GitHub上。訊息傳出後,Star數量在4點半就突破了2000,到了下午5點,Star數已經達到6000,最終創下了一天斬獲9000+的驚人紀錄。
Github顯示該專案作者為openbilibili,這是一個 4 月 22 日(也就是昨天)才註冊的賬號。很顯然就是為了釋出這個專案才註冊了git。另外,專案名go-common,能猜到這就是一個用Go語言寫的支援庫。
下圖為專案描述。
另外,還有負責人資訊☟
一位資深後端技術人員分析稱,上述曝光的原始碼疑似B站的後端工程原始碼,B站可能就是或者曾經使用上述程式碼部署網站的。
當天,B站通過官方微博針對網站工程原始碼被洩露一事進行回應,公告稱有部分B站工程程式碼在網上流傳,經內部緊急核查,確認該部分程式碼屬於較老的歷史版本。網站已經執行了主動的防禦措施,確認此事件不會影響到網站安全和使用者資料安全。
截至發文,該宣告已被刪除
這個專案到5點20分左右才被關閉掉,不過當時已經有超過9000的Star,有超過6000的Fork了,也就是說這個專案已經被備份6000多次且不可連帶刪除,這基本屬於無可挽回操作。
洩露影響,程式碼背後的黑洞
洩露影響,程式碼背後的黑洞
根據技術人員分析,B站的這份宣告有待商榷,畢竟通過程式碼分析,會發現有最近時間標誌的程式碼。
而且洩露的後臺工程原始碼中,除去部分使用者的賬號與密碼之外,還有著許多使用者們尚不知曉的“內幕”,甚至連簽約UP的粉絲量、播放量等關鍵資料都可以經過系統進行作弊虛假處理。
透過後臺工程原始碼的註釋可以看出,號稱“良心”、“淨土”的B站其實也有著大量我們看不到的“潛規則”的。
很b站的註釋
也就是說這份程式碼洩露會導致B站程式碼的很多隱患將會被曝出來。如果黑客想通過B站後端程式碼攻擊B站,以前他需要做的事情是逆向B站的程式碼,猜測其運作原理和漏洞位置,但是現在他可以直接閱讀原始碼,從中找到很多不為人知的漏洞。這就為某些黑產提供了便利,例如,他會利用這份程式碼找到視訊方面的漏洞然後盜取未公開視訊;通連線到後臺資料庫做一些提權,獲取使用者資訊。
另一方面,原始碼洩露還意味著,某些人可以以此為參照,複製出一套成熟的後端架構,然後做出zilizili或者yiliyili等網站。
隨著B站的發展,其業務範圍也在不斷擴大,遊戲代理、大會員、激勵計劃等的加入也賦予了曾經功能單一的B站賬號大量的經濟價值,若是大量賬號失竊,其經濟損失將難以估計。
國內首個知名網站原始碼洩露,背後暴露的問題
國內首個知名網站原始碼洩露,背後暴露的問題
目前,程式碼的洩露人和洩露原因尚不清楚,有謠言稱事情是一個被裁員的程式設計師的報復。不管傳言是否準確,如此重大的程式碼洩露事件仍然是一件值得探討的問題。亦有知乎網友表示,這一洩露已經觸犯到了法律,如果B站追責,且不說這位程式設計師在業內混不下去,還有可能坐牢。
程式設計師作為僱員與僱主之間的矛盾一直處在不可調和階段,前段時間一位程式設計師發起的996.icu的repo現在依然霸佔著github流行度的月榜、周榜以及日榜。這也充分的說明了程式設計師現有的表達訴求的正常渠道似乎沒有宣傳的那麼有效。
僱員與僱主之間並不是仇敵,兩者的有著共同的利益訴求,畢竟都想把蛋糕做大,能夠分的更多的利益。協調溝通只是其中的一種方式,更多的矛盾觸發點應該是這塊蛋糕如何分配。如果利益矛盾真的到了不可調和的地步,畢竟,光腳的不怕穿鞋的,往日程式設計師刪庫跑路的案例比比皆是,程式設計師鎖死伺服器、刪庫跑路,公司解散虧XXX萬的新聞也是發生過的。
另一方面,其實這也暴露了網際網路軟體行業中的通病——開發與業務相互割裂。這次原始碼中暴露的問題不僅僅是b站的,阿里雲以前也出過看上去非常不可思議的小錯誤,微博也曾經因為明星事件多次出現伺服器當機。本質上,這或許也暴露了研發、開發人員和業務的割裂。研發人員一般開發中介軟體服務,不太會從業務的角度去考慮實際的應用問題,更不會管你的應用是不是有問題。可開發人員開發出的服務才是面向終端使用者的,技術開發一定要從整體全面考慮,尤其要重視最末端的開發,面向使用者的業務程式碼一定要注意。
另外,此次暴露出的行業安全問題也不能不重視。研究人員發現,GitHub仍然存在數千個可公開訪問的加密金鑰。GitHub上的100,000多個程式碼儲存庫包含訪問金鑰,可以為攻擊者提供對這些儲存庫(repos)或線上服務提供商服務的特權訪問。北卡羅來納州立大學(NCSU)的研究人員在近六個月內掃描了近13%的GitHub公共儲存庫。在一篇揭示調查結果的論文中,他們說:“我們發現不僅祕密洩漏普遍存在 ——影響超過100,000個儲存庫 - 而且每天都有數千個新的,獨特的祕密被洩露。”
現代公司對於數字化資產的私密度、保護意識急需加強。網路安全形勢嚴峻,多數企業已經有了完善的態勢感知和應急體系,及時發現、及時處理才能將安全事件的損害降到最低。
來自 “ ITPUB部落格 ” ,連結:http://blog.itpub.net/31562039/viewspace-2642296/,如需轉載,請註明出處,否則將追究法律責任。
相關文章
- B站網站後臺工程原始碼疑似洩露 內含部分使用者名稱密碼網站原始碼密碼
- B站網站後臺工程原始碼疑似洩露,內含部分使用者名稱密碼網站原始碼密碼
- Java 程式碼本地設定Hadoop使用者名稱密碼JavaHadoop密碼
- 公司網站使用者名稱密碼修改?網站密碼
- 直播app原始碼,輸入密碼和使用者名稱呼叫開發者工具APP原始碼密碼
- 三星多個專案程式碼洩露 包括SmartThings原始碼和金鑰原始碼
- Ubuntu 論壇遭受攻擊,使用者名稱密碼已洩漏Ubuntu密碼
- git 使用者名稱密碼相關Git密碼
- jQuery記住使用者名稱和密碼效果程式碼例項jQuery密碼
- 資訊洩露之web原始碼洩露Web原始碼
- 訊息推送介面設計(內含原始碼)原始碼
- 織夢使用者名稱密碼?織夢提示你的密碼錯誤密碼
- 從B站的程式碼洩露事件中,我們能學到些什麼?事件
- GitHub上標星1.5w,被B站使用,flv.js開源作者月薪還不到5k!學歷對程式設計師有多重要?GithubJS程式設計師
- 關於登入(使用者名稱,密碼,驗證碼)密碼
- 青少年手機監控應用程式 TeenSafe 洩露數以萬計的使用者密碼密碼
- 根據教程中,輸錯密碼或使用者名稱後,卻不能返回‘使用者名稱或密碼錯誤’密碼
- 樹立正確的原始碼防洩密安全目標原始碼
- 訊息稱黑客洩露英偉達 75GB 機密檔案,包括 DLSS 原始碼!黑客原始碼
- 豐田部分原始碼被公開,近30萬客戶資訊洩露原始碼
- 使用者名稱和密碼輸入練習密碼
- ctf常見原始碼洩露原始碼
- 帝國CMS原始碼忘記後臺使用者名稱和密碼怎麼辦?原始碼密碼
- linux中記錄GIT使用者名稱密碼的方法LinuxGit密碼
- R星《俠盜獵車手5》的完整原始碼疑似被洩露原始碼
- Android studio 如何設計一個較為好看的使用者名稱,密碼輸入框Android密碼
- 基於個人理解的springAOP部分原始碼分析,內含較多原始碼,慎入Spring原始碼
- 根據使用者名稱和密碼查詢使用者密碼
- 網站原始碼密碼修改?怎樣修改網站模板的內容?網站原始碼密碼
- 每日安全資訊:三星多個專案程式碼洩露,包括 SmartThings 原始碼和金鑰原始碼
- R星承認遭網路攻擊,《GTA 6》原始碼洩露原始碼
- CodeGuide 300+文件、100+程式碼庫,一個指導程式設計師寫程式碼的,Github 倉庫開源啦!GUIIDE程式設計師Github
- Okta原始碼洩露,私有GitHub儲存庫遭到駭客攻擊原始碼Github
- GitHub標星120K+的JDK併發程式設計指南,連續霸榜GitHub終於開源了GithubJDK程式設計
- docker 建立私有倉庫,並且設定使用者名稱和密碼Docker密碼
- 使用者名稱前加個“Super”就是密碼了?這家網站心真大密碼網站
- 現在的你,是開發工程師、程式設計師還是碼農?工程師程式設計師
- win10系統svn使用者名稱密碼怎樣更改_win10 svn更換使用者名稱密碼操作方法Win10密碼