开源跑路的程序员？B站工程源码泄露，Github标星9k+，内含部分用户名密码

kitiun

大数据文摘出品
7 Z% c0 e/ O9 c1 P9 d0 n3 k* R1 q作者：蒋宝尚、宋欣仪

# L' a9 Q" r+ W( j- j0 ]昨儿个，文摘菌日常在B站上看看本山大爷的视频，听听吴亦凡的大碗面。突然弹幕画风突变，评论区集体喊话B站，“你家后院着火了”。
原来，Bilibili的网站后台源码被发到了GitHub上。消息传出后，Star数量在4点半就突破了2000，到了下午5点，Star数已经达到6000，最终创下了一天斩获9000+的惊人纪录。
  v2 b; c4 J: D. I
Github显示该项目作者为openbilibili，这是一个 4 月 22 日（也就是昨天）才注册的账号。很显然就是为了发布这个项目才注册了git。另外，项目名go-common，能猜到这就是一个用Go语言写的支持库。
, y7 j6 ^& v) x' n! q0 C
下图为项目描述。
( k$ [, C5 n! d7 c$ H
. K* f: H$ ?$ c+ E( ^$ W另外，还有负责人信息☟

6 y- b9 \# ?. K! V9 ^1 Q$ [一位资深后端技术人员分析称，上述曝光的源码疑似B站的后端工程源代码，B站可能就是或者曾经使用上述代码部署网站的。
$ \5 @" f9 A7 x; ]" f当天，B站通过官方微博针对网站工程源代码被泄露一事进行回应，公告称有部分B站工程代码在网上流传，经内部紧急核查，确认该部分代码属于较老的历史版本。网站已经执行了主动的防御措施，确认此事件不会影响到网站安全和用户数据安全。
0 t) K! P3 X  U. D3 A4 U# P8 z
截至发文，该声明已被删除

这个项目到5点20分左右才被关闭掉，不过当时已经有超过9000的Star，有超过6000的Fork了，也就是说这个项目已经被备份6000多次且不可连带删除，这基本属于无可挽回操作。

泄露影响，代码背后的黑洞
根据技术人员分析，B站的这份声明有待商榷，毕竟通过代码分析，会发现有最近时间标志的代码。
0 q0 K3 X& N+ i  U% }  i而且泄露的后台工程源码中，除去部分用户的账号与密码之外，还有着许多用户们尚不知晓的“内幕”，甚至连签约UP的粉丝量、播放量等关键数据都可以经过系统进行作弊虚假处理。

透过后台工程源码的注释可以看出，号称“良心”、“净土”的B站其实也有着大量我们看不到的“潜规则”的。
% @8 T& V* Z8 A: @7 b
很b站的注释
也就是说这份代码泄露会导致B站代码的很多隐患将会被曝出来。如果黑客想通过B站后端代码攻击B站，以前他需要做的事情是逆向B站的代码，猜测其运作原理和漏洞位置，但是现在他可以直接阅读源码，从中找到很多不为人知的漏洞。这就为某些黑产提供了便利，例如，他会利用这份代码找到视频方面的漏洞然后盗取未公开视频；通连接到后台数据库做一些提权，获取用户信息。
. \4 `. A. Y8 v2 P8 P" r7 w另一方面，源代码泄露还意味着，某些人可以以此为参照，复制出一套成熟的后端架构，然后做出zilizili或者yiliyili等网站。
0 G5 Z; J  A# S$ r( ^" I
随着B站的发展，其业务范围也在不断扩大，游戏代理、大会员、激励计划等的加入也赋予了曾经功能单一的B站账号大量的经济价值，若是大量账号失窃，其经济损失将难以估计。
国内首个知名网站源代码泄露，背后暴露的问题
目前，代码的泄露人和泄露原因尚不清楚，有谣言称事情是一个被裁员的程序员的报复。不管传言是否准确，如此重大的代码泄露事件仍然是一件值得探讨的问题。亦有知乎网友表示，这一泄露已经触犯到了法律，如果B站追责，且不说这位程序员在业内混不下去，还有可能坐牢。
程序员作为雇员与雇主之间的矛盾一直处在不可调和阶段，前段时间一位程序员发起的996.icu的repo现在依然霸占着github流行度的月榜、周榜以及日榜。这也充分的说明了程序员现有的表达诉求的正常渠道似乎没有宣传的那么有效。
% p8 d- h  K3 D8 W, i/ [3 V, B  x雇员与雇主之间并不是仇敌，两者的有着共同的利益诉求，毕竟都想把蛋糕做大，能够分的更多的利益。协调沟通只是其中的一种方式，更多的矛盾触发点应该是这块蛋糕如何分配。如果利益矛盾真的到了不可调和的地步，毕竟，光脚的不怕穿鞋的，往日程序员删库跑路的案例比比皆是，程序员锁死服务器、删库跑路，公司解散亏XXX万的新闻也是发生过的。
另一方面，其实这也暴露了互联网软件行业中的通病——开发与业务相互割裂。这次源代码中暴露的问题不仅仅是b站的，阿里云以前也出过看上去非常不可思议的小错误，微博也曾经因为明星事件多次出现服务器宕机。本质上，这或许也暴露了研发、开发人员和业务的割裂。研发人员一般开发中间件服务，不太会从业务的角度去考虑实际的应用问题，更不会管你的应用是不是有问题。可开发人员开发出的服务才是面向最终用户的，技术开发一定要从整体全面考虑，尤其要重视最末端的开发，面向用户的业务代码一定要注意。
另外，此次暴露出的行业安全问题也不能不重视。研究人员发现，GitHub仍然存在数千个可公开访问的加密密钥。GitHub上的100,000多个代码存储库包含访问密钥，可以为攻击者提供对这些存储库（repos）或在线服务提供商服务的特权访问。北卡罗来纳州立大学（NCSU）的研究人员在近六个月内扫描了近13％的GitHub公共存储库。在一篇揭示调查结果的论文中，他们说：“我们发现不仅秘密泄漏普遍存在 ——影响超过100,000个存储库 - 而且每天都有数千个新的，独特的秘密被泄露。”
% E7 _% L; O! z% o+ c/ k: S现代公司对于数字化资产的私密度、保护意识急需加强。网络安全形势严峻，多数企业已经有了完善的态势感知和应急体系，及时发现、及时处理才能将安全事件的损害降到最低。
3 R! U8 W; o/ U" r实习/全职编辑记者招聘ing
) e0 @: r9 e6 ]6 l" r加入我们，亲身体验一家专业科技媒体采写的每个细节，在最有前景的行业，和一群遍布全球最优秀的人一起成长。坐标北京·清华东门，在大数据文摘主页对话页回复“招聘”了解详情。简历请直接发送至zz@bigdatadigest.cn

& l5 I9 h0 T9 @5 Y2 L! Z3 j9 N

! `+ j  H% P6 E6 N: c来源：http://www.yidianzixun.com/article/0LoiuTId
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！