# 程序员，今天你被“投毒”了么？

An episode of [科技乱炖](https://invisiblenetwork.ai/podcast/1492740686), 16 Oct 2023, 57 min.

Audio: https://tk.wavpub.com/WPDL_ABWCCLxyeucbcjwhmBWXqRDzQASAgYsGZDrdXJpmHLpTWjAZmNVjPTArLx-04.mp3

近日，安恒信息 CERT 监测到一起 LNMP 遭受供应链投毒攻击事件。我们发现，在 lnmp.org 官方网站下载的安装包中被植入了恶意程序。截至录音当日，大部分威胁情报平台尚未标记相关的恶意 IoC 情报。建议近期在 lnmp.org 官网下载并部署 LNMP 的 RedHat 系统用户进行自查。 供应链投毒攻击是什么？以往有过相似案例吗？为何有这么多投毒事件？为什么很多中国开发者中招？下一个中招的又会是谁？黑灰产现在猖狂到什么地步了？最重要的，作为开发者，应该做些什么来避坑？ 本期节目，我们请来了从事网络安全行业的某高老师，和做了二十多年网站的老高，一起来聊聊关于“供应链投毒”的那些事。 本期嘉宾 • 朱峰：「津津乐道播客网络」创始人，产品及技术专家。（微博：@zhufengme） • 高春辉：「科技乱炖」主播。“中国互联网站长第一人”，科技、互联网领域的连续创业者。（微博：@高春辉，微信公众号：老高的互联网杂谈） • 某高老师：「科技乱炖」主播，资深运维专家，互联网和 IT 行业从业20 年，现任某互联网安全公司高管。（微博：@某高老师，Blog：某高老师 – 人间观察） 【制作团队】 后期 / 卷圈 封面 / 姝琦@midjourney 运营 / 卷圈，Sand 监制 / 姝琦 产品统筹 / bobo 场地支持 / 声湃轩北京录音间 【联系我们】 希望大家在听友群和评论区多多反馈收听感受，这对我们来说十分重要。欢迎添加津津乐道小助手微信：dao160301，加入听友群 【关于「科技乱炖」】 由多名资深从业者主持的科技点评播客，以实际工作中积累的经验为基础，结合实际，把近期科技热点变成犀利、独到、深刻的独家观点。 【关于「津津乐道播客网络」】 在一派纷繁芜杂里，我们为愉悦双耳而生。科技、教育、文化、美食、生活、技能、情绪……严肃认真却不刻板，拒绝空泛浮夸。与专业且有趣的人携手缔造清流，分享经历，传播体验，厘清世界与你的关系。 津津乐道 | 科技乱炖 | 津津有味 | 记者下班 | 不叁不肆 | 厂长来了 | 编码人声 | 沸腾客厅 | 拼娃时代 收听平台 苹果播客 | 小宇宙App | 汽水儿App | Spotify | 喜马拉雅 | 网易云音乐 | QQ音乐 | 微信听书 | 荔枝FM | 央广云听 | 听听FM | Sure竖耳App | Bilibili | YouTube 联系我们 津津乐道播客官网 | 公众号：津津乐道播客 | 微信：dao160301 | 微博：津津乐道播客 | 商业合作：hi@dao.fm | 版权声明 | RSS订阅 本节目由「声湃 WavPub」提供内容托管和数据服务支持。

## Chapters

- 0:00 开场：并机播出与节目背景
- 2:40 LNMP投毒事件始末
- 7:06 oneinstack事件与创始人回应
- 11:20 什么是供应链攻击
- 16:17 历史案例：XcodeGhost与node-ipc
- 24:08 廉价安卓设备后门事件
- 27:54 为什么投毒事件频发？
- 33:30 如何避坑：实践建议
- 38:35 个人经验：密码与勒索事件
- 45:24 盗版软件的风险与正版化
- 51:57 结尾：会员计划与节目预告

## Transcript

[0:00] 说话人 1: 本节目由津津乐道制作播出。大家好，这里是一期科技乱炖和编码人生并机播出的节目。哎，为什么并机播出呢？因为我觉得这期的节目跟程序员的关系比较大哈，我们就应编码人生的制作团队的邀请，说不行，你们一块儿录吧，这个对吧？这个艰巨而光荣的任务交给了我们。所以这期呢跟大家聊聊，最近可能哎这期节目如果不是程序员是不是听不懂啊？
[0:50] 说话人 2: 不会的，不会的，你以我们的水平居然也听不懂。
[0:55] 说话人 1: 嗨，上期有人批评咱了啊，我跟老高录那期iphone开箱说不专业，你们录的一点都不专业啊。
[1:03] 说话人 2: 这集我看那个评论了啊，我都想吐槽，因为那集我没在啊，他们把我踢出群聊，但是我都想吐槽一开头说了，我们这一集是吐槽。嗯，番外就恨不得说我们就是随便聊，你们就随便听。哎，其实大概就是这么个意思，就是过节期间在家待着没事干录期节目呗啊，几个中年老男人对吧？抒发一下情绪。哎，他不是为了讲知识，你看老高跟朱峰费劲巴力的，好不容易到手两台手机。
[1:31] 说话人 1: 对呀，多不容易抢到手的。
[1:32] 说话人 2: 哎，吐吐槽我们也情绪要发泄一下，哎，防止别人你再踩这个坑，这很重要。
[1:39] 说话人 1: 但是今天这个坑啊有会更深啊，刚才某老老师说了，程序员可能也听不懂，那怎么办啊？这期还录吧，结束了，咱先说一下背景知识吧。哎，先说一下这个前景提要啊，就是最近呢我们在网上看到了一个被疯传的一个其实不是帖子，现在已经进了这个安全报告了，进了CVE了，就是LNMP这个一键安装包的供应链投毒的这个时间就是我们一般程序员开发软件啊，尤其互联网程序员开发软件，它通常都会用几个东西组合起来吧。就是外部服务器、操作系统数据库啊，这几个东西它组合起来呢，一般就叫LNMPL,是什么呢？就是操作系统linu.Case n呢就是injg克斯，这是他那个外部服务器。P呢，一般就是PRPM呢，就是mysql.就这几个东西组合起来，你就可以做互联网的开发了。嗯，很多的程序员呢就会什么呢？他图省事嘛，就是我自己装有点麻烦懒人包，哎，网上呢就有这种懒人包。
[2:40] 说话人 1: 这个新闻焦点就是这个懒人包，这就叫LNMP的这个一键安装包。
[2:46] 说话人 2: 对，今天我们聊的这事儿我还突然有点意外，就是我都不知道原来在我们这个脑海里啊，在至少在我的脑海里啊，LNMP是个技术站啊。
[2:57] 说话人 1: 对，就是刚才大家说的这这几个东西组合起来的一个开发的
[3:00] 说话人 2: 平台。在这个之前呢有lamp,就是LAMP,那个a是阿帕奇。对，就是作为webserver呢，后来我们都读作engines啊，其实人叫engengine.嗯，对啊，这个玩意儿呢是现在是流行的这个webserver的服务器，所以俄罗斯的老哥开发的对，所以LAMP呢就变成了LNMP.但是从我过去的经验来讲，这是个技术战。就是说哎我们的技术服务端的技术组合是这四样组件。哎，但是今天发现哎怎么还有一个LMMP点ORG的网站，还有一个懒人包，这个就有点意思。
[3:34] 说话人 3: 这个早就有禅道，他们也做了一个。当然他可能会说我有一个干净版，还有一个里边整合禅道的啊，OK就适合和说。有人想去做个测试啊，因为他方便他自己的系统去部署。
[3:44] 说话人 2: 其实很多的公司都有这种，就是为了方便你甚至说你现在docker的这个镜像，嗯，呃过去很多公司是自己用，你要是单装，甚至像朱峰这种变态的自己变异。嗯，你可能会有很多东西不一样。
[3:58] 说话人 3: 对，就是他有其是你的这个操作系统环境不一样。比如说有帮助和那个三六YS就差很多版本不一样，你就每依赖都能把你弄死。
[4:06] 说话人 1: 哎，当然了，这话又说远了，为了解决这个问题，又有更聪明的程序员发明了docker,对吧？
[4:13] 说话人 3: 这个这个都是懒人包的一种，对吧？
[4:15] 说话人 1: 哎，对对对，所以这个东西呢其实就是提供了一个一键安装包，就把这整个的运行环境打包啊装上就能用了，你也不用管别的，对吧？你你也不用管么么装上的，或者是你用了什么版本的，不用我，我反正都给你解决了。就是这么一个东西。这个东西呢，其实在开发者群体里面的普及率还挺高的。因为毕竟他省事嘛，而且甚至说这一个公司的人可能你都会用这样一个包，但环境也一致了。我不需要写一个文档，告诉你这个需要哪个版本，那个需校版本，它这些依赖，反正都给你装好了。你就在这个环境下，大家都在这个环境下开发就完了。
[4:48] 说话人 2: 更有甚者，生产环境也是这么怕装的，不是做程序员的或者做运维的同学啊，你们就这么理解，它就是相当于雨林木风版的windows,特别像帮你搞定很多事儿。
[4:59] 说话人 1: 对，而且一下就装上，也不用我在安装过程了。
[5:01] 说话人 2: 嗯，然后里面里里边好多常用软件都有了。
[5:03] 说话人 3: 哎，对，类似于这种他也可以帮你做一些精简，把一些不常用的东西给你剔掉系统里的不常见的选项，也就帮你先美其名曰能够提高速度。
[5:12] 说话人 2: 但是里边有啥呢？
[5:13] 说话人 1: 哎哎，咱就不知道了。
[5:15] 说话人 3: 那话怎么说来的？就是看人品的时候，就是你看他是会偷偷往里装一些乱七八糟的东西。
[5:20] 说话人 1: 这个时候呢，我们就有这个安全工作者就发现了在某一时刻某一个时期之后的这个安装包的版本里，被植入了恶意的代码。这个恶意代码是一个二进制程序，不是一个脚本啊，或者你能看源代码的，它是一个二进制程序。所以大家也不知道它这个二进制程序具体干了什么。但是明确的知道这个东西装上之后，它会自启动，他会在后台起一个服务，然后这个服务跟外部建立了一个隧道连接。就是你可以把任何东西发出去，但是具体什么情况去发，会发什么，大家并不知道。但是一套操作下来就构建了一个它可以随时往外发任何东西的可能性，对不对？
[6:00] 说话人 3: 它这个功能之外又增加了一些你不知用途的东西。
[6:04] 说话人 1: 对，因为它是个二进制，反正你也看不见是什么东西。
[6:07] 说话人 2: 哎，懒人包里边的东西应该大多数都是二进制制，是东西好，甚甚至说
[6:12] 说话人 1: 他要实现更复杂的功能等等的。他不可能都拿脚本写这个事儿就太难了。
[6:17] 说话人 3: 而且它里边可能肯定也不止一个程序混在里头，不是特太容易发现就是对，尤其你要像docker那上面一堆文件可能几十万个，那你不能挨个都看一遍吧。
[6:27] 说话人 1: 然后呢，发现这个事情，这是一个国内的网站啊，这LAIP点ORG啊，这个国内的网站就是在
[6:32] 说话人 3: 一个公司是吗？
[6:33] 说话人 1: 哎，那然后网友就去查这件事情嘛，到底在什么时刻发生了这件事情。然后大家就发现了，这个公司在前段时间被某个注册在浙江金华的公司收购了。而这个公司名下的域名曾经做过的网站也可以被拔出来。然后我们会通过这些蛛丝马迹，发现这个公司是做黑灰啥的。
[6:58] 说话人 2: 嗯，咱别做，说黑会就是第一方攻击，对他不是被别人搞了，就是自己让的。他想搞。
[7:06] 说话人 1: 你就是应该是这个金华的这个公司把这个网站收购了。嗯，因为他也是个人网站嘛，也肯定背后也没有什么东西。哎，我给您收了，对吧？我花点钱，然后他在这上面加点料，哎，加点料去干这些事情是这么一个过程吧，不好的味道就又来了，是吧？不好的味道又来了，而且呢更不好的是什么呢？紧接着另外一个一键安装包叫oneinsteack.那个应该是做jjava环境的一件安装包的啊，这个是另外一个也被发现投毒了，而且这个网站也是被这个同一个公司收到了。
[7:41] 说话人 3: 这个干坏的人，总想把这个规模干大了，然后就被人发现了，是吧？
[7:45] 说话人 2: 干坏事的人都是要注册公司吗？
[7:47] 说话人 3: 不知道，因为要开发票啊，嗨回产吗？
[7:51] 说话人 1: 那不是黑产回产对吧？嗯，有的时候这事儿你就很难说。但是呢从哪里我们又发现了进一步的蛛丝马迹呢？是这个vaninstack的这个创始人，应该是在vtwoEX上去做了一个回应。怎么回应的呢？说这个金华的公司啊，收购的这几个安装包和面板的这个厂商啊，他们是类似于宝塔的产品。呢打开知名度。这个公司呢作为项目的投资商，然后呢协商为这样一个产品提供开发资金，毕竟提供所有的服务器资源，但是项目的管理权限及运维权限都还在创始人自己的手里，就是发帖子的这个人的自己的手里。目前各位开发者的经历主要是进行新的开发。对于出现本次挂码是事故，他叫挂码事故。注意啊，挂码事故主要原因在于我们对项目没有进行及时有效的管理，后续会加强安全管理，杜绝该问题的出现。你看他说说的这个东西，你们有没有发现前后矛盾，他说不是我干的，第一，
[8:54] 说话人 1: 这个东西还是在我控制之下的。嗯，第二，这件事情不是我干的，但是既然在你的控制之下，那是谁干的呢？
[9:02] 说话人 2: 他的意思就是说这件事只有我能干，嗯，但是不是我干的对，就完了就结束了。
[9:07] 说话人 1: 所以有网友也在下面回复啊，说能做到这样挂码的只有一类人，那就是对这个万因斯yg域名的DNS和主站由管理权限的人，不然你改不了啊，这个东西啊也对吧？既然自称手里还有权限，那么挂码的也只有这个开发者本人啊，没有第三人能干成这样。而且这根本就不是服务器的漏洞的。问题是服务器漏洞可能能给你改个东西，能改一个，他不能把整个系统给你改了呀，连所有权都改了哈，公司所有权都改了，这不可能嘛。所以网友们说的比较狠啊，这个会不会是一个光明正大的违法犯罪？而且这里还有一个细节特别有意思，出了这个事情之后，oneinstack点com的这个域名在海外解析不了了，就是在海外不能访问，在海外不能访问，只有能在国内访问，有DNS的这个解析能力的人能干。
[10:01] 说话人 3: 那一定是就是这个所谓的这个所有方法
[10:02] 说话人 1: 哦，哎对他这个就有点欲盖弥彰了哈。
[10:05] 说话人 2: 当然了，我们没有证据，也不能这么讲。这个呢有几个点啊，比如说挂码这个事儿这个事儿非常的有趣，我们可以这么理解啊，就是挂码。比如说他的服务器上被人植入了木马，哎，通常来说呢这个木马的这个所有方会从他的服务器去偷一些数据偷信息。对我们大家都知道，对吧？但是呢他的木马是挂到你的服务器上，同时还能在你的产品里再植入一个木马，这个其实难度就会非常大。
[10:35] 说话人 1: 那除非挂你脑子里了，对吧？
[10:37] 说话人 3: 之前好像有的那个开源的那上面也有这类似的事儿，就是他也是把他那个产品里边给他搞了一些类似的东西，嗯，对吧？但是可能大家觉得这个确实不是人家这个所有者方的问题，确实是被人黑了。
[10:51] 说话人 2: 我们遇到过这个情况是怎么干的呢？嗯，是把编译的服务器入侵了啊，就是在你的编译环境的时候就出事了。
[10:58] 说话人 1: 对，在你编译环境里，在之前也出过呀，我整理一下之前出的案例啊，还蛮多的，挺多的啊。截止到昨天还有对整理一堆。但是说这件事情之前呢，就必须让某个老师搞安全的来解释一下，我们都管这次事件叫一个严重的供应链投毒攻击事件。那某高老师讲讲吧，对吧？再给大家讲讲什么叫供应链攻击，
[11:20] 说话人 2: 供应商攻击啊，就是呃我们这个这里边讲的，其实软件的供应链攻击。哎，就是大家可以类比。比如说我们要生产一个东西，你要生产一瓶可乐吧。嗯，你不是这个厂，从瓶子到瓶盖到商标都是你自己做的。
[11:35] 说话人 3: 因为大家其实很多都是供应链里边采购的都是供应商。
[11:38] 说话人 2: 然后供应商呢还有供应商。嗯嗯，比如说你采购的水，这水肯定不是你自己打的井。对，那别人打的井嗯，那可能这个给你供应水的人，并不是打井的人，只是一个净水送水的人，送水的是个搬运工，是吧？大自然然搬搬运工。对，所以这里边一定任何一个产业，现在都有嵌套着n层供应链，那软件也不例外。怎么讲呢？就是比如说互联网的应用吧，嗯他后边的不管是服务器端还是客户端里边，一定会有各种各样的第三方的库嗯或者组件。这些第三方库和组件呢有大量的是开源的，嗯，有可能是闭源的。比如说他买的，比如说我们知道有很多手机app,他会买一些推送消息的服务啊，SDK啊等等出广告的SDK啊，这些东西都是第三方的。嗯，那这些这些买的厂商里面，他也会用开源的组件，就是他可以套圈儿一层一层的螺。但是可能你引用的十层之前的那个东西有一个漏洞，嗯，其实这个漏洞就带进来了，带进到你这个系统里。
[12:43] 说话人 2: 只不过这个漏洞可能隐藏的非常深。在当下吧，没有人知道怎么利用它，可能别人知道怎么利用那漏洞，但是不知道那个漏洞在你的软件里的什么地方。嗯，所以暂时在你这是没有爆发的，有一种我们叫漏洞利用。
[12:58] 说话人 1: 嗯，就是老高说的这个格佛系这种，对吧？他大量的安装量，然后突然出了一个零配，或者是不是零备，但是来不及修。最近出了这里，必须提供我们程序员朋友友一一个消息。你的软件系统里一定引用了CUL这个库，嗯，它出了一个大漏洞，赶紧修去，赶紧升级起，赶紧修去。这是昨天出的事啊，哎这种就是占有这种特别大的库，然后呢出事了了后后被利用了，这种攻击击件件或者叫漏洞利用事件，对吧？
[13:28] 说话人 3: 但我自己觉得这也算是利用供应链来去攻击了，他是在供应链环节出问题了。
[13:33] 说话人 1: 但是什么是叫特定的供应链投毒攻击？它是这样子的，就是接着某个老师刚才说那个事儿啊，比如说我做一锅粥，我需要供米的，有需要供水的，有需要供糖的这些供应商。这个时候如果你是一个负责任厂商，你一定不会去大街上随便找一勺水扔到锅里去做这锅汤，你一定是找信任的供应商来供这些货，这是供应链的问题，对吧？如果我们放在制造业是供应链问题，而你对供应商一定是有一个基本的信任。你不可能每勺水我都尝一口，它一定会有某些准入的机制。比如说放在软件里，我就相信我本机装的这个编译器没有问题，那才会产生下一步的工作的前提。不然的话，我连编译环境都不可信，那我怎么会继续往下做呢？
[14:28] 说话人 2: 对朱峰讲这个点呢，其实是说如果讲供应链投毒可能会更贴切一点。哎，其实是那个投毒。对，就是供应链投毒。之所以它很有效，它其实是一种信任关系的传递。嗯，就是说我是一个下游厂商，我用很多上游的供应商的代码。嗯，不管是开源的也好，闭源的也好，我首先对这些是有一定的筛选的。嗯，我对他们的信任程度甚至高过了我自己的程序员，这是有这个可能的对，因为这些大厂有可能是google.对，有可能是阿帕奇基金会。对，有可能是什么的。比如苹果对我用苹果的一个东西，我就觉得特放心。嗯，虽然我不知道它里边写了啥，对，嗯啊但是呢这个时候苹果里边有不靠谱的，或者他也这样引用，嗯，它一层一层的。其实我相信了苹果，意味着我相信苹果的所有供应商。对，但不一定苹果的供应商里边的供应商隔了几层之后，对，就没那么严格了。有可能在某一个地方可以被人投了个毒，就一下传递到我这来了。
[15:27] 说话人 3: 那这个所谓的供应链攻击和漏洞利润，我觉得最大的差异点就是在于他是不是故意的投毒，你说是投毒这种事儿，我就是这种事，你是里边额外放了点东西，对对吧？不是说你这边发现漏洞唉，加料啊，对，但我觉得就是说这个可能说特定和不特定的目标也是有区别的对对吧？你比如说我去搞了，比如你说这个LNMP的ORG的这个网站，我说会把它给加了吧。但其实我不知道我会攻击到谁，但我知道他现在的用户对我能够偷，他在他上偷到的东西对我都有用。嗯，那这就是这个犯的对。那还有一类说，比如说我就想黑，假设说某高老师在的公司的东西的时候，那这个就是一个定向的攻击，那就APP了了。
[16:08] 说话人 2: 那个是对。
[16:09] 说话人 3: 对，那个是另外一个这个事呢，我觉得有时候可能确实有时候你不太好去区分说什么哪个是漏洞力用哦，哪个是这个供应链的攻击，或者叫投毒吧。
[16:17] 说话人 1: 对对吧？但是今天咱主要讲的还是供应链投毒，特指啊这一窄溜的这些，因为疑似他们LNMP是在投毒。
[16:25] 说话人 3: 对，这种肯定是算投毒了，就额外加料了嘛。
[16:28] 说话人 1: 我给大家讲几个投毒事件啊，咱从二零一五年开始说家里有老的，也就打听一下，往前翻个七八年吧。
[16:34] 说话人 3: 对，是吧？
[16:35] 说话人 1: 那一年出了一个特别大的事儿，是这个病毒呢就是它已经有命名了，它就像一个病毒，应该是有命名的。Xcoo的ghost事件xcode大家都知道，就就是苹果的IOS或者是麦克应用的这个开发的工具。Id,这是苹果专属的，我要从苹果的开发者网站下载，然后安装，然后用这是一个专属的封闭的系统，里面的东西看上去不会有问题啊。就像刚才你说的苹果生态谁不信啊，嗯对吧？完全没问题啊，我都是拿它开发便议，但是对不起，在中国这个网站访问比较困难咋办？我们的程序员为了不被没收收入，然后呢都去第三方网站下，而在第三方分发的就有人恶意的在里头加料。
[17:22] 说话人 3: 那加料料好像已经影响了很多大厂，
[17:26] 说话人 1: 然后受感染的app的数量是一千零七十八款。包括了我们耳熟能详的很多大厂呀，对他也是放了一个后门，他把数据发出来了。
[17:36] 说话人 3: 我觉得这事儿之后可能大厂就会更加严格的要求内部的这种镜像啊的这种下载的方式，或者内部可能会有一个镜像服务器。对对吧？从这上面都是检查过的，或者都保证是从原厂下回来的，会要求大家不要去乱七八糟的地方下东西。
[17:51] 说话人 1: 因为一五年的时候，移动互联网刚起来，大家对这些东西还没有特别好的防范。范这么的事儿，刚起来就是大家还不警惕这件事情，原来是小规模别。
[18:02] 说话人 2: 那个时候吧，现在我们很多大厂，比如说开发的app嗯编译还是在程序员自己机器人编。
[18:09] 说话人 3: 对，会有这种问题。
[18:11] 说话人 2: 因为苹果本身对这种商业环境支持就不是很好了。对，就想弄个编译集群，他还不知道，还干不了。
[18:18] 说话人 3: 嗯，对，这个是苹果的果。比如说你做个大项目，那它就应该有一个所谓的编译服务器，就跟我们一样。我们现在比如说那个文件，就其实就不在每个人身上编了，因为一编可能就得十分钟，那就又像一个人十分钟干不了活。嗯，那我放在一个专门的机上，而且且可以配个很好的硬件，让他当初去编译，就省了我的事件，提高我的效率了嘛。我们做那个IOSAPP的，就还是在他电脑上编译。我们只能跟他讲说你这个上面要小心点，对吧？不要出来了，虽然你的APP的用户很少，但是你也不想出事对吧。
[18:50] 说话人 2: 对所以这件事给我们提供了一个攻击思路。嗯，首先是攻击这个生产环境，这不是环境在用的东西，而是编译环节。对，其次呢，你们不要直接去攻击这些什么原厂，你们攻击CDN就行了。对，其实都不用搞什么镜像，对吧？嗯，对，那个你在苹果下载，你不也得走CDN吗？
[19:09] 说话人 1: 那CDN缓存，你把它边缘缓存全给他换了，我延展一下啊，最近是出现了这样的攻击思路，有很多上游的开发者就是这些库的开发者或者模块组件的开发者。很多人会依赖他他等于是供应链的上游嘛。嗯，这些上游开发者他通常会把这些库啊等等提供一个下载地址。有的好一点的比较完善的库，他可能会放在NPM啊等等。这些包管理器里面有的呢，可能就是在自己的官网上提供一个下载，也有这么干的对。但是下载的时候，他为了加速，他就买了CDN的服务，但是为了省钱就买了小厂商的CDN服。五、你知道CDN服务厂商是一个非常薄弱的安全环节。是因为如果你要提供HTTPS的下载，你必须把你网站的SSL的私钥给到对方，对吧？这个私钥一旦丢了，就又成了漏洞了，就可以被人投毒了，就可以被人投毒了。
[20:09] 说话人 3: 我前几天好像又看到有人在安全会议上讲，对DNS做干扰。哎，有对对吧？就是他可以干扰你的DNS.比如说哎你这个返回的这个地址，因为你要访问域名嘛，都得返回一个IP地址,对不对？好，他把那IP地址可能通过什么方式把你改了，可引导到他的服务器来给你提供供载。那这种情况下呢，其实也可以做投毒啊，现在DNS攻击啊，
[20:31] 说话人 1: 再加上CDM这两招结合在一起，你基本没有办法分辨是不是真的了，因为你私钥都交出去了。
[20:38] 说话人 2: 对，然后这是一种啊。嗯，另外一种就是告诉你这是假的。嗯，比如说支持双开的微信啊啊，支持中文版的telegram啊，无广告版的微博呀。我这是第三方的，嗯，但是我就让你方便啊。嗯你知道里头是啥？对，反正是你主动下的。
[20:57] 说话人 1: 哎，对，这个还是偏c端的这种嗯投毒，对吧？这个就是咱讲电闸的那期聊过的啊，但是咱继续讲这个在b端的这种投毒啊，就是面向程序员。今天毕竟咱是编码人生是吧？面向程序员投毒，二零二二年又出了一个事儿，叫nodeipc的偷渡时间。那么ipc是一个在noteJS里非常常用的一个库，上百万次的下载，对，依赖度不低于logforg啊，是这么一个东西，而这个就比较有意思，这个事作作者自己干的，人家承认了他自己认了，他是为了表达个人的政治立场。对呃，当时俄乌战争嘛为了表达政治立场，他在这个库里加入了一些对俄罗斯与白俄罗斯区的用户去做了一些恶意代码。嗯，啊他有两个阶段的攻击哦，第一阶段呢它是用一个查域名的一个API,他看用户的本地的IP是什么。如果发现你本地IP在白罗斯或者俄罗斯，他就干点坏事，那就是很坏的事儿，就直接把磁盘覆盖了，直接删除。
[22:01] 说话人 2: 这用了谁在p库呢？
[22:02] 说话人 3: 问问他，当时看了肯定不是我的公开的，一个是一个免费库的API的。嗯，对他就随便找一个，反正肯定不收钱，对他来说吧，会那就这事就有可能会误误伤周边国家啊。对，很有可能。
[22:16] 说话人 1: 但是他也意识到这么干，可能法律风险有点高。嗯，所以他第二阶段呢就改了改了一个比较温和的手段，就是我不删除文件了。然后但是我会在你的桌面上创建一个反战的宣传文件，嗯，啊里面是他的政治观点啊等等。这件事情呢其实后来引入了非常非常多的争议。
[22:38] 说话人 3: 那肯定的啊。对，因为它是一个开源的软件，你就是滥用信任了，说的简单点就是这个问题。
[22:45] 说话人 1: 对，这是你的观点。但是呢也有一方的观点，认为什么呢？我们曾经聊过开源软件，那期跟霍去聊的应该是很多程序员都是这么认为的。开源软件其实是在言论自由范畴内的事物。
[23:01] 说话人 2: 对，这个当时我记得以前谈过这个话题。
[23:03] 说话人 1: 对，所以呢这个东西到底是不是作者对这个事情应该有主动控制的权利。我别管是把它删了，加了任何恶意的代码，这个东西是不是都是一个符合法律，或者是不应该被受到谴责的行为？因为我是在行使我言论自由的权利，我觉得这个事儿是这样。
[23:26] 说话人 3: 就是比如说我用你这个软件，你肯定会写这个软件本身的用途。嗯，但你做的事是啥？那你跟我说，你这个是一个在手机上用的一个功能。嗯，那你突然在这边给我创建一个图标，说我们要反战，嗯，那这事事就
[23:38] 说话人 1: 违背了那个功能本身对的目的，对对吧？
[23:42] 说话人 3: 他谴责其实是因为这个原因，对
[23:45] 说话人 1: 这另外一拨人就类似于老高的这个提法。就是说你这件事情已经超越了言论自由，应该给予宽容的界限了。嗯，你玩过了就是言论自由，前提是你不要伤害任何人嘛，对你是个是你伤害的别人了，你也有实质行动，把人文件删了，而且那个会删错了。
[24:08] 说话人 3: 我跟你说，我们的库里边是把克里米亚标成俄罗斯的，这个东西我该就反了。我就说过，我说我们这么标的理由是什么嘛，对吧？我就这回先不说，如果有听o有问题，我们再专门解释再专门解释。但是在我们的里边，克里米亚地区是属于俄罗斯，在网络这个层面。在网络上，咱这跟主权其实实有关系系，是从运营商的角度来去做的这个解释。
[24:32] 说话人 1: 对，所以呢这件事情就是有的人认为这是一个言论自由。有的人认为这是开源恐怖主义，会破坏了开源社区的这个互相信任，打破了供应链信任。这个事呢当时闹得也非常非常大。就各种观点。因为他涉及的一些政治的东西，大家有的时候一讨论就更容易说走极端吧，狂热了就狂热了。嗯，对，这是一个事儿啊。紧接着第三件事情就是昨天发生的啊，十月七号，这是一个toc端的投毒。就刚才类似于你说那种投毒，一个安全公司报告了数万个中国制造的廉价安卓设备，预装了后门。什么是啊廉价安卓设备其实就是电视机顶盒。你知道咱从淘宝上能搜着很多外贸盒子，我还买过呢啊，就那个东西他在里面给你挂马了，他在里边挂了一个什么码的，
[25:24] 说话人 3: 就是一个代理服务器，可以拿来当代理。这个黑会场都是这么来的。
[25:29] 说话人 1: 对你会发现那些卖什么家庭IP地址啊，什么移动IP地址这些东西都哪来的了。嗯，他那些几万个IP都怎么来的，或者是就是他把别人路由器黑了的，你说的肯定是其中一个来源，他这个有足够动机把它做完了，因为成本很低。对啊，还可以卖的更便宜，然后从这个卖IP地址上再赚钱，送你剃须刀。哎，对哎，对，就是类似于这种的，因为便宜啊，可能就几十美金，可能放在国外。
[25:55] 说话人 3: 那你随便就可以买一个放贵价，就只要成本价卖出去，他最后他就能赚，他就不亏啊。
[25:59] 说话人 1: 对对对，这就不亏啊，甚至他不可能成本价卖嘛，就是昨天发现的这个事儿，就是这些植入八款后门还挺多的，是识别了八款植入后门的设备，其中七款是电视盒子，还有一款是平板电脑，数量至少有七点四万台，没发现的一定是这个数量的n倍。植入的后门是一个这些植入都是同一恶意程序，
[26:27] 说话人 2: 那证明基本上都是一家干的了啊，这些盒子不一定是是一家出的，他可能是他用的那个安卓那个包。
[26:34] 说话人 1: 哎，这厂商可能都不知道，就是他也被供应链攻击，我觉得不会。
[26:39] 说话人 3: 那你想同时被一个供献攻击的可能来，而且里边还有个平板电脑呢，
[26:44] 说话人 1: 这个不知道。因为这个你就必须非常了解东莞那边这些小设备的这个生产生态。嗯，是不是他们就是他们自己有圈子交换的这些文件里面可能就有问题，大家用都是这么一东西编编去的也不是没有可能。
[26:58] 说话人 3: 但是我现在在利益优先的条件下，一定是有些利益勾兑在里面的就不知道了。
[27:04] 说话人 1: 但是现在google和苹果现在都已经采取行动了，这些有风险的应用都已经被屏蔽掉了。这就是最近的事儿，这也是一个典型的供应链。
[27:13] 说话人 3: 所以我们还是买苹果吧，苹果那个xcodeghost不也一样吗？那不是苹果被攻击了啊。对，是你自己随便下了，你找了一个随便下载站想加速搞出来的呀。
[27:24] 说话人 1: 你要不要信任这个开发者的问题了。嗯，你这就是罗圈家了，你知道吗？
[27:29] 说话人 2: 这个地方不是有句话吗？这个事件是由草台班子组成没错。
[27:32] 说话人 1: 嗯，现在我越来越相信这句话了。
[27:34] 说话人 2: 对你你说你相信苹果或者相信什么？阿帕奇基金会相信这，然后你会发现你倒来倒去发现他那根儿里可能是个草台班子。
[27:43] 说话人 1: 哎，说回来这件事啊，就是这么多例子，有了那搞安全的某高老师给大家讲讲吧，这咋会有这么多偷渡事件？为什么总是中国开发者中自着？
[27:54] 说话人 2: 应该这么说啊，不只是中国开发者，嗯，只能说呢这是软件产业发展的必然。嗯，就是一定是从个人开发所有的写所有代码嗯，到互相引用用互相包含，对吧？这是你只要有开源软件这件事就绕不过去啊。因为你开源软件的目的就不光是应应用代码，还有各种。
[28:14] 说话人 3: 但其其苹苹果那不是源源代码，只只是是你只能说只要是做软件开发的，你其实都要你只要用到别人的软件，除非我能不能从头到尾自己写，对吧？那你操作系统你自己写吗？那好，你随便去下个镜像，按上去里边可能也有木马啊，所以事事就在。我刚看来就是一个，大家可能对于咱不说小厂了，那大厂至少自己得稍微注意一下你的这些开发人员的一些规范，嗯，对吧？你要求他比如说这些情况可能甚至可能要定期检查。
[28:43] 说话人 2: 所以我觉得啊就是比如说这个各位听友中，你们作为大厂的cto啊，你们也不要说啊。
[28:51] 说话人 1: 我以后啊你已经默认咱t好都是CTO了，是吧？
[28:53] 说话人 2: 那肯定的，他是只说其中有啊，现在不是明年也是了。
[28:59] 说话人 1: 对，人均CTO冲，你这句话就在打赏是吧？
[29:02] 说话人 2: 对我的意思是说，大家也不用由此就去想啊，我还是什么都自己干，嗯，那是不可能的。嗯，你自己干你不如人家那个有毒的干的好，可能但是我们作为使用房，就是下游啊，你起码要知道这个东西的运作原理。嗯，你要知道它是怎么回事，别一味的就懒人包，有的时候我以前也干过这种事，嗯，就是我下个懒人包我就真懒了。嗯，他一运行我也不看了，鬼知道他装进什么去了，最后反正有个图标在那我能点就行了。
[29:30] 说话人 3: 对，这个还得说起来，你要那么说之前盗版的有一大堆啊，我现在常用那个CRT那个软件呢，就是啊对那个就被投过毒有一个事儿，就是说有一个汉化包汉化板子里边就是有那个木马，他就把你的那个账号密码IP都给你传传出去了，嗯，对吧？所以从其实在我看来之前大家是穷，所以不买正版。但后来我觉得其实增加让大家买正版的一个很大的理由就是哎因为可能会出各种事儿，尤其你这个是一个商业用途，对对吧？你不想因为这事儿导导致说你的工作这的都没有了。嗯，因为你想那都是服务器的账号密码，怎么可能是对那最要命的东西。对啊对啊，就你等于说没告诉别人，但是被别人直接拍，就就传就直接给拿走了。
[30:15] 说话人 2: 对，所以就挺有衷啊。我觉得你们作为大厂的这个COO管材，哎，有COCIOCIOCL,你们不要一味的降本增效，就是说但凡见着商业软件，咱就问问有没有盗版，嗯，然后能不能开源替代，嗯，就为了省钱。其实你这里边可能一大堆漏洞，
[30:35] 说话人 3: 有些东西呢你花点钱省大麻烦，而且因为三元一般来说都是有这个呃就是有合同的那这种情况你出问题还可以告诉他呢。
[30:44] 说话人 2: 互联网公司里边咱不说这个服务端的，就是说其他的比如说设计师用的photoshop,嗯，那你们有多少个是正版，是正版的，你叠代从从哪下的？
[30:55] 说话人 1: 我要做播客他们用的那哎呦，你们几个中的是正版。
[30:59] 说话人 2: 嗯，对呀，你在哪下的这里头有没有什么东西啊？嗯，偷了你什么走你都不知道有。
[31:03] 说话人 1: 对，偷一一会我给你讲这故事。
[31:08] 说话人 2: 对，就是我觉得第一步咱先用这版软件，可能就解决不少问题了。
[31:12] 说话人 3: 嗯，或者说只需官网下，对对吧？
[31:15] 说话人 2: 就这个就好很，如果是免费的软件是最好就是很多软件，它也有免费的那个档。嗯，但是你从官网去找，不要是什么华军软件源，对吧？
[31:24] 说话人 3: 华军是社会的个人网站，华军算大的大的，一般说不会出事，你要去一个随便搜一个地址。就比如说你想找一个什么软件，随随便搜一个，随便下个站直接就下了。我跟你说，也很有可能这些下载站的背后都是一个公司。
[31:39] 说话人 1: 哎，就是那个金华那个公司是吧？
[31:41] 说话人 3: 那当然不一定了，但是我觉得有时候就是这个站都从来没听说过。然后有一堆千篇一律看的网站的样子，市场差不多的。
[31:48] 说话人 1: 我再给你讲一个故事，就是这个金华的公司后来被人扒出来，他有一个网站，就是做软件下载。
[31:53] 说话人 3: 那肯定的，因为你下载的人我在里边随便给你放点东西，你看得出来吗？对，但对于我们的古典的人来说，这是耻辱。嗯，对吧？但是对于现在人来说，他只要觉得现在没给我钱，没有几个古典的人了。对古典的人都已经开始偷开始播播客了，是吧？
[32:10] 说话人 1: 是。而且我是觉得从程序员的角度来讲，就这个超快猛思维啊，就是能用就行。
[32:16] 说话人 3: 这种思维现在其实还又不是不能用的。所以
[32:19] 说话人 1: 大家现在特别追求这个可能也是为了追求效率啊，就追求这种一键安装包啊、懒人包啊，我还很多朋友都在用，有很多甚至说各种面板儿啊，就是一键装上去就有部界面进去，你可以开服务啊啊那些东西，反正wemysql之类都给你装好了。
[32:36] 说话人 3: 这个怎么说就是不是不能用，对吧？只是你要还是要小心点，
[32:39] 说话人 1: 一个是小心点。我是觉得你在干这件事情之前，其实可以花一点小小的时间去了解一下这些基础架构的基本知识。你最起码知道他们之间互相的关系啊到底是怎么样的。比如说LNMP,它互相之间你服务怎么起来的对吧？互相之间socket它是怎么建的啊？等等这些东西你是不是基本的去掉，这事对提高工作效率也有帮助。比如说你懒人包出一问题，你跑不起来了，你不至于只能重装。
[33:11] 说话人 3: 对，因为你只用懒人包，就说明你这个这个社区没有肾解嘛。
[33:14] 说话人 1: 对，这样的话，比如说你遇到一些排错的问题，就是比如刚才我说的跑不动了，跑不了了，报错了我怎么办？你不能一键重装，或者说你想改一些配置，改配置，你自己优化等等。你可能都会用得到一些最基本的一些东西。
[33:30] 说话人 3: 你懂，但是没时间可以用懒人猫。
[33:33] 说话人 1: 但是首先我我觉得你作为一个开发者嘛，嗯最好还是
[33:38] 说话人 2: 开发者的自我修养，你可以用懒人包。那你要知道懒人包里边在干嘛，也可以理解。
[33:43] 说话人 1: 就像刚才某高老师说的，这个软件工程的这个生态其实越来越丰富了。很多的开发者不太需要关注细节和底层的问题，这是一个好事儿。因为大大提高了生产率嘛，生产效率，我有大量的脚手架，有大量的库，我能快速的出活，你就是胶水。对，但是这个事儿的背面是什么？就是你越来越不看重一些基础的底层的东西，然后就被人滥用了。对，这些年其实我们一直在看这个事儿。一开始呢可能我们来一个程序员，我可能会问问计算机的基本原理、基础知识啊，甚至再早年间可能你写段汇编这啊这倒数编成时代。
[34:30] 说话人 3: 我当时入那个当时我在沈阳入尊的公司，就是这么干的对吧？
[34:33] 说话人 1: 但是很oldschool的做法呢，那是九几年两千年的那这时候后来呢我们可能哎算了，这咱不看了，再往上考一层吧，你给我讲讲HTTP的怎么建立连接的对吧？最经典一个考题，不就是在浏览器里输入三w点google点com,然后机器发生了什么？当然有人说十分钟还在讲VPN原理了也没影响亮，你这叫黑在是呢这个事情就是你慢慢的这个时候我们可能不考计算机本身的东西，我在考互联网的底层原理，因为越来越互联化了。对，再后来呢我们又考程序员说你给我写段javavascript,现在呢我们连都不考了，你拿javascrippviewe,一共有几个功能，哎，一层一层往上挪一层一层。那大家是大家慢慢的都不看下面的东西了，这就给这一些可能会出现的供应链供给带来很多很多的机会，这叫能力空心化。我跟你讲，哎，对，哎，你这个总结太对了，你这是在黑谁？
[35:34] 说话人 1: 我想知道不知道。对，就是这样啊。
[35:39] 说话人 3: 这个就是因为说大家确实你在平常干的事都是咱们所谓的CRUD的事对正山改查。那他自然不要关心你的真任，改善后边到底在做什么，嗯，对吧？他关心了，他也用不上。对啊，或者说对于他来说，我我的就是一份工作。当我能够满足老板的要求，那我何必想那么多呢？或者绝大多数人呢可能少数人，哎，我对这个有兴趣我愿意去研究研究。嗯，但这人未来医学科成长更快，对对吧？因为你这个东西越了解，理论上你会你的能力一定会是越好的嘛。
[36:08] 说话人 1: 对他你积累越深厚，你后面遇到事情，你举一反三的能力，你越强吧，对对吧？
[36:14] 说话人 3: 这个事呢，其实我是觉得从我知道像那我说那CRT那个事儿，那可能都那十多年了。嗯，那个时候可能小范围的可能不像现在一弄，说好你一个事儿，只要不管是漏洞利用还是投毒影响，可能就是几百万人对自己全球人都受影响。嗯，对吧？之前那个叫什么滴血，嗯，就是那个加密协议啊啊，对啊，我知道那个对，咱好像聊过聊过，对，那个滴血，那基本上那没有一个网站不受影响，对对吧？那就是到时候修，我当时好像看了说修了一个月，还有百分之二十三十的这个网站还是有的个有没有人维护的网站？对，但然他有可能说那网站太老旧了，他不好升级，这是也是有能能的，有可能不好搞，一个月内搞不定。嗯，但是这种事儿你就是说你一旦落到这个里边，你不关心，可能就被这个不关心，你就会被困扰。
[36:58] 说话人 1: 对，是吧？
[36:59] 说话人 3: 对，虽然说大多数是什么事事，但一旦被搞了，那可能轻则是所谓的这种加班加点。你不了解东西，你也被逼着去了解。那重则则是你的财产损失
[37:12] 说话人 1: 是或者是就信誉上的损失，商誉上的损失。对嗯，所以还是可以多个心眼。
[37:18] 说话人 2: 在业务之余，我觉得这个在座的各位苦逼程序员们，你们如果只关心业务嗯，也没问题。嗯，然后底下的东西呢就尽量用大厂的
[37:30] 说话人 1: 嗯或者交给专业的人去干。
[37:33] 说话人 2: 对，就是要不然用大厂的云服务嗯，啊交给你们自己团队内专业的人，嗯，这样会好一点，就别满处百度百度去搜去。
[37:42] 说话人 1: 哎，贴段代码进来。
[37:44] 说话人 2: 对，不是搜贴代码，就是你你搜贴代码还好，对你搜着随便搜这个程序就下载下来，放不帖
[37:50] 说话人 1: 起来了啊，这这真是我见过的。
[37:53] 说话人 3: 但今天这事儿吧，我觉得是在最最主要说的事儿可能有个麻烦。问题是说可能那个网站原来是个个人的对吧？嗯，这个人呢中间拖，比如说不管是因为他不想维护了，嗯，还是因为说这个想接盘的人给的钱太多。
[38:09] 说话人 1: 嗯，
[38:10] 说话人 3: 这种叫所有权的变化嗯，可能会导致的。这个事呢呢就你原来是信任他他确实也没干坏事。对，但是现在呢因为这个变化导致的可能这个那其实真的有时候很难防，嗯，也得意到啊。对，因为他一般也不会公告，而且他一旦想干偷偷摸摸，他肯定会也是偷偷摸摸的干。所以这种事呢，我觉得有时候确实是会在你的叫警戒线外出事儿，确实是这样一个事。
[38:35] 说话人 1: 所以怎么干呢？怎么干才能避坑呢？刚才说了一些，我可以给大家补充补充啊，就是因为我们也有一些技术实践嘛，给大家补充补充吧。我先说我们怎么干的这件事儿其实挺简单的，就是去官网下源码自己编，这是最简单直接，而且运行效率最高的办法。因为什么库要什么库不要，反正你都指定好了，你自己编译就完了。就是像声态，他那个后台就是完全就是一套自己的那个部署系统，一套编译的脚本也是LNIP,这一套都编译下来，我就可以跑起来，我就不需要去再去考虑说哦这个我下哪个包，我或甚至说用APT去装，对吧？或者头sens,让用YUM去装。我不考虑这些事情，因为我觉得这些东西装起来，我倒不是担心它的安全问题，我是担心它过于臃肿，我可能有些功能用不到，或者我自定义的能力太差。
[39:35] 说话人 2: 对对，大家知道生态比较穷，没有硬盘。
[39:37] 说话人 1: 哎，对，所以我就用u盘了，我是吧？我剩升点硬盘现在都是增感。所以在这个过程中，我就发现几个点，第一个就是你软件包哪哪来的你这个东西，你得消息搞清楚。对，特特别是现在都是用APT或者YUM装，你那个镜像站是不是可信的？
[39:56] 说话人 3: 那个还好，因为他那个机制相对能保证。对，其实有签名的，还有签名他会做签名验证，对吧？还有私钥，对，那就有有公钥。在他不仅是可能看MD五，他要鉴定那个。对，还要看那签名。这这我我得得还算，反正我们现在是基本上常用软件都是有一个都在我们SV里。嗯，而且基本上可能跟所有人都说过，说你们不要随便去下这种软件去用。嗯，就基本上因为我们的功能也比较固定嘛，可能就是那那三板斧。嗯，这板斧头就准备好了，你就再来，你挨个装就行了。对对吧？你就自己只好好好用，也不用升级。嗯，而且现在可能有些软件他可能也会做一些升级的验证什么的。嗯嗯，我用那个EMedit,就那就是有一个好像是别被人投毒了，就因为他的东西没有做验证，嗯，然后可能也出过事，他那个公告吧，我就写的隐隐晦晦的嗯，对吧？但是他说了，我们在升级这个更新的，就远程更新这个能力啊，怎么怎么着？等我怀疑一定是被人搞过他之后才去生气的，才会想起来这个事对。但是可能影响的并不多，可能也就没有特别去提。
[40:58] 说话人 1: 对，而我是觉得生产系统啊，我觉得求稳别求新，我倒是可以就是觉得可以去，但你至少你得懂了，你才求新吧。
[41:06] 说话人 3: 你不懂那求心，只有是把自己钱封里了。
[41:08] 说话人 2: 对，就我们做运维的都是这样嘛，都收拾老的。
[41:12] 说话人 1: 因为你引入的这个源码，它里面有什么问题，你不知道
[41:16] 说话人 2: 对他就算有bug呢，那可能就是什么？
[41:18] 说话人 3: 这这个在在很大情况是bug的问题，它不是说码的问题，嗯，对吧？但我跟你讲一个，我们之前这都很早，应该是临近南的事。那时候老崔弄了台机器，我就让他送到机房，对不对？然后那时候我当时正在忙别的事儿，他就说你赶紧接收这个机器，就意思把那账号密码给我，他让我上去看看有没有问题。对，然后他就可以走了嘛，对吧？我说你等我五分钟，你把那账号面先给我，我等五分钟，我上来看一眼。他给了我一个，可能就比较简单，因为你想当时在键盘上敲嘛，也给了一个比较简单的。等我我出去看好那个上面就黑了，为啥被探测？因为你是很简单的密码啊，真的现在这个网络的扫描这种就针对你，比如你是r端口啊，给你设个简单密码的时候，他那个我觉得已经非常非常严重了。嗯，对，那我当时就就个因为我碰到第一次嗯，对吧？那怎么办？我就赶紧给老师打，我说那个机器你关机，然后起来之后你重做系统对，这系统我不要了，嗯，对吧？因为很明显是有问题了，是，然后我就说你从多往上弄一个尽量复杂的密码，嗯，就哪怕胃肠呢，
[42:21] 说话人 3: 对吧？你也比说你一个就是一二三四五六强。嗯，好，我说你就这样干，我说我们，而且我跟他说，我说你以后也别弄那个特别简单的密码了。对，好，这个习惯，我觉得基本上来说我们就保持到现在就至少要长。你用一个一二三轮到太容易被拆了。对，那你知道你你说一二三四六七八九十再一二三六七八九十也比那个六位的强，因为他也不是一下就能猜到了，毕竟我接受它，我也会改一个那种随机生成的。嗯，你去网上搜那种随机生成那种工具还是很多的。嗯，到一般了你可以指定嘛，对吧？他也会什么大小写字母，数字字符会随机给你出那种就安全多了。
[42:55] 说话人 1: 我们现在的实践经验是这样，就是所有的生产系统里面的机器，除了最外面那个啊那个台装着反向代理的机器以外，所有的机器都没有公网ip.嗯，你想进拿着堡垒基金，嗯，你就别SSA,因为你看着你都心虚，知道你知道你一装上那个就扫的那个马站就会过来，因为日志里都是记录，你看那个SHD那个对，进头一多就对，肯定是有人扫你。对，现在这个都是自动的嘛，脚本小子干，这个脚本小子干。所以我现在就是哎也，是因为生态穷啊，买不起这么多公网s,所以现在都在内网。内网如想你外外进进内网，那对不起，登堡垒机。
[43:37] 说话人 2: 那这个堡垒机就必须得足够的让你放心，就是我们做一个网络安全的治理，第一步就是收紧那个接触面嘛。
[43:44] 说话人 3: 嗯对嗯，对，那叫被攻击面，就是把入口收紧。
[43:48] 说话人 1: 对嗯，对，现在确实是
[43:51] 说话人 2: 挺快的。我前两年吧嗯也是心血来潮在阿里云开了台机器，好像他有一个什么一一块钱用一年什么啊。对对对，对我就开了一台，然后就装了一个还是在官网下载的数据库，那个什么数据库，
[44:07] 说话人 1: 然后我就放那儿了，就是他用他的那个标准的装的，所以他那个用户密密码，你不会是装了一个mangoDB吧，或者redase.可能mangogogo那个最最大的问题不就默默认就能进去吗？
[44:21] 说话人 3: 不是你要配公网IPredicce要配，只要配公网IP了，你如果他那个默认密码好像也是空的。换的问题是啥？我们那个上面只是缓存，没有数据，嗯，就是我随便数据，我可以把就是当缓存用的啊。对，所以那时候就赶紧跟我同事说这个东西，第一个以后就就是一定要想的，不要搞共网地址。第二个一定有密码，还要足够墙装的。
[44:40] 说话人 2: 是是狗，我想起来。嗯嗯，第二天我再一看嗯，就被勒索了。呃，有个勒索邮件有有勒索信息在里，勒索信息就就只剩他那一条信息了。其实本来我也是没信信息加了一条，然后他还说你的数据被我备份了，怎么怎么着？
[44:56] 说话人 3: 这一看你看我么都假，这就是忽悠。对对吧？因为像你这种空数据的人很少啊，总有点数据吧，不一定要是忽悠，
[45:03] 说话人 1: 这可能就是脚本干的，批量干的，他一定是他在忽悠。
[45:06] 说话人 3: 你说他不管你有没有数据，他就说你的数据都被我偷了，嗯，对吧？或者他就把数据给你清空空，然后跟你说你偷了，然后你给我钱，但是给你钱之后，他也没有数据干这个事的的。
[45:15] 说话人 2: 人家不够带宽硬盘呢，他才不会备份你的数据。
[45:18] 说话人 1: 对，所以这种就是贝勒所也找某个老师去啊，让他来解决啊，这事应该找我们的权力。
[45:24] 说话人 3: 猛哥给你们讲讲，说他们那个所在公司被勒索啊，整个比特币的那个。对对啊，那他那个这一个礼拜很惨。
[45:31] 说话人 1: 再有一个就是刚才某高老师说的，少用点老板，这是关系到每一个人。
[45:36] 说话人 3: 不一定你是程序员啊，少用盗版，然后不要去那些莫名的网站上下东西。
[45:40] 说话人 2: 对，因为以前咱们老提说我们作为程序员，你们要尽量支持正版。嗯，这相当于支持同行，也就是支持我们自己，也这是一种情怀感。对，但实际不是现在盗版，不是说你说人家费劲巴力费老大劲了，盗个版给你免费用，那涂上他疯了。
[46:01] 说话人 3: 这个还是要讲之前的盗版，我觉得是有一种所谓的炫技，嗯，或者叫荣誉感。那时候就和写病毒的人就跟我们那时候是一样，到时候到时候能不能不提这个场，对吧？就那时候其实大家是觉得哎，我在给所谓的这个事做一个个光荣荣事事嗯，对吧？我是给所谓的这些买不起的人提供了一个服务，主要是以前想买你，也不知道哪儿，对，这个也是一方面嘛。
[46:25] 说话人 2: 然后另外就是你看这就是传统的黑客情怀，罗宾汉佐罗那个
[46:30] 说话人 3: 觉得你比如说哎这个比如说咱们假设一个软件，这个所有的盗版站上都没有。你说哎这个东西我能做出来他的盗版，然后提供给大家，你觉得是一种荣誉感，因为别人都搞不定，我能搞定就术，我觉得是有的啊，甚至会给你讲说我怎么能把它搞了，搞做一个什么破解教程啊。
[46:46] 说话人 1: 但现在你说这人叫雷军啊，那不是
[46:51] 说话人 3: 他是背的那方，然后现在变成啥？就那个时候做所谓病毒，人就不炫技了，全都是利益。而对对，所以说你现在看不到所谓的单纯的病毒，嗯，只能看到木马勒索远件。嗯，这两类是可能是大多数了，那为什么就是这个东西是能挣钱啊，对对吧？
[47:11] 说话人 1: 基本上你想要装一个盗版，你就一定要做好被挂码的思想准备。
[47:18] 说话人 3: 就或者你说这种情况，你今天没挂，是是你幸运嗯，对吧？
[47:24] 说话人 1: 尤其是什么？这个大家可以很简单的鉴定一下，尤其他要求你运行一个破解器的这种，其本百分之一百这个破解器有问题。给为举个例子吧，之前我们用photoshop是刚需嘛，photoshop、AU这些东西是刚需，舒琦的那个就突发奇想找大板装。当时我确实也没有买正版，当时刚开始做播客嘛，也没有这么多钱，想这本低点是吧？
[47:50] 说话人 3: 万一哪天就哪天就放弃了呢？
[47:52] 说话人 1: 对，先试试装个老板，我和赵赵博、AU都是盗板，装上之后，他那个机器就开始猛转，
[48:00] 说话人 3: 那风扇就天天不停，就这种被搞成挖矿的了是吧？
[48:03] 说话人 1: 对，被搞成挖矿的，不要认为麦克上没有木马，他就是真有，他就是少没有，他就是多，只要让你运行个什么破解器啊之类的东西，都会有这个问题。
[48:14] 说话人 3: 这还有个问题，啥，那破解器的那个做的可能没做，是被二手了，
[48:18] 说话人 1: 被二手他挂了一个动态库，进去，里面是有东西够，你喝酒也有这种也有，所以就是来源的问题。
[48:25] 说话人 3: 嗯，这个挺重要的，反正我现在我想想我周边的东西应该都是正版了。
[48:31] 说话人 1: 嗯，我们现在所有东西都换成正版了，就交钱就交钱吧。
[48:34] 说话人 3: 确实比如说你升个级，你可能就要去找一个破解器，或者找个新版的盗版。那你又说你现在真的我觉得是你的时间问题，你没那个时间在这挨个翻再去鉴定地方有没有问题。何不如你再来个反馈一遍，看看它里边有没有问题。何何呢呢，对吧？说这种事事，在我看来，那你就不如花钱了事。所以刚才说那CRT的软件，我应该已经续了，能有三年，三年已经快十年了。应该是就我从十年前那个东西我就买，他也是订阅，知道吧？在我看来是个单机软件，只是它的功能是联网去连服务器去能让你用。嗯嗯，就他一般来说他就允许你买三年的一个leicense啊，那我对我来就买三，因为对我说这个工作，除非你现在退休这个个事儿，你是扔不掉的是对吧？那我就买啊，还甚至有些你比如我刚才说的EM的，我买的这个lefttime的版本啊，而且现在我发现我赚了。嗯，因为我零四年买的时候，他才是好几十美金就能lifetime.嗯，现在两百多美金lifetime.嗯嗯，那你想理财产品啊，你不了，就是至少你觉得你赚了对不对？
[49:41] 说话人 3: 对，而且你还用了改装这么久，用了快二十年了，而现在发现你这个东西还值了，所以我那天赶了它的涨价钱，我又买了一份，因为那个就给我同事用嘛，对吧？因为觉得这个对我们来说，这个东西就是一个你肯定是需要的东西，那你就不如他有lifetime.你算算你用个十年，基本上他他是说很多的lifetime,就是你的单年的lesson乘个十倍嗯，收你这个钱。那你就算那其实你只要觉得你能用四年，那你也不亏了，能用多了，那你就赚了。
[50:07] 说话人 1: 是有这个，所以现在尽可能的。因为我现在盘了一下啊，就是程序员日常用的软件，就是在本机上装软件其实并不多。对你都买全了也花不了你工资的几分之一。
[50:23] 说话人 3: 以后去找一个这种，因为国内也有做这种共享软件的对吧？你这个可以跟他们说搞一个成全套装，然后再打个大折扣，对吧？
[50:31] 说话人 1: 对，其实我们现在科技乱炖在想这件事情，就是能不能说我们去找一些厂商去谈。然后呢就是包在我们将来可能会做的会员计划呀等等，这个里面就是给大家一个折扣啊等等。也在其实跟大家，我聊了几个厂商，大家想法还挺开放的。其实他们愿意给
[50:51] 说话人 3: 对于软件来说，其实一定是卖的越多越合适。对，只要他觉得能卖得出，而且提高你的市占率，对他愿意跟你谈折扣。
[50:59] 说话人 1: 所以这块儿我也在想，但是这个会员计划说实话，这坑挖了好年了，一直没有做的原因。其实是因为我们实在暂时还没有真的把这个事情想的特别清楚和完善。你说付会员费是让你多听几集节目，他说怎么样？
[51:16] 说话人 2: 我觉得都不是特别啊，主要是程序员不爱花钱，你们要都是小姑娘，我们早错了。
[51:22] 说话人 1: 嗨，让不三不四做错，就是这意思吧？那个是大姑娘嘛，但是说实话这个会员计划我们可能也是会把这些节目都抱起来，不是仅是科技乱炖啊，不是作为津津正道一会员。但是这是这说实话，真的没有没有找到一个能让大家觉得
[51:40] 说话人 3: 就是既能又能还能的。
[51:42] 说话人 1: 因为很多的厂商也在找我们说，你看啊你们给我们带货，带货效果不错是吧？那怎么长期的帮我们去卖这个东西啊，我们愿意给你们一个长期的折扣，确实没有带过软件的货没有少。
[51:57] 说话人 3: 嗯，因为软件现在它小的就是很小众，嗯，对吧？可能就是一些爱好者会用，那我们也带不动大的呢，都都很大，可能你也不好谈。
[52:09] 说话人 1: 嗯，ideachat呀，ideatryt你带过呀，这个不算呢，就是这算不算赚钱，他算sars.对，前期节目那个有朋友吐槽啊，说你们这客户邮箱为什么没人回啊，这个肯定有人回啊。
[52:24] 说话人 2: 大家好，因为国庆了是吧？
[52:25] 说话人 1: 真是过节去了。第一个他过节去了，我那作者不是我们仨人啊，是留另外有作者，然后他过节去了。再有一个这个有可能有朋友那个信他进垃圾邮件了。尤其你拿国内邮箱发的的时候，可能会进垃邮邮件。这个时候不慌不不急急，然后继发发邮件，或者你告诉我，我去找作者去翻翻垃圾箱之类的，应该还是能联联系上的。但是这个这有很多在节目里不好说的原因是吧？所以这个事儿大家就多理理解吧。
[52:53] 说话人 2: 我们的艺术一点的来说啊，就是这个域名呢，因为众所周知的原因被众所周知了啊，但是它不是在全国生效的，非常有意思。就是有的朋友呢他访问一直没问题，嗯，有的朋友就不行了。在某些运营商和某些地方，嗯，这个时候呢就是你们可以在我们天q群里留言，或者是直接给这个服务的邮箱发邮件，他会告诉你一个新的域名。嗯，这个域名是可用的，但是新的域名如果也不行了，你再发个邮件，他他还会有一个新的域名，反正他让你一直用下去啊。对对，嗯，但是我们这个因为这个公司是海外公司，所以他不会因为其他的原因被强行关掉。他只是因为访问受到一点障碍，所以这个就大家目前呢还可以忍。比如说我自己用啊，我也懒得去问那个新的域名，我就弄一个梯子就一直在用。
[53:45] 说话人 1: 嗯，啊这种方法也可以，大家淡定淡定，遇到问题淡定，连续作者就可以了啊。对，一定是可以的，没有跑路，没有跑路，没有跑路，真的没有跑路啊。嗯，
[53:56] 说话人 3: 还没有跑路，跑路的时候，提前跟你说，就是说我们卷了几千万跑了是吧？
[54:02] 说话人 1: 可见没几千万的，值不当的这个几千万的千块差不多越南盾是吧，也就卖了几千块，没没多少钱啊，反正大家就用吧，放心用吧，这个问题不大。
[54:12] 说话人 2: 当然了，这个HHI多说几句啊，其实我们本来还是有一些待开发的功能的。因为最近呢这个openAI也有了一些大升级，嗯，但是最近进展不太多。嗯，啊因为这个作者本人呢最近要去上学了啊啊，他可能是实在卷的受不了了，又去申请了一个加拿大的学校啊，他最近刚开学啊，所以有一些新的功能呢有点不太跟得上。但是保证维护是没问题。嗯，包括处理大家的这些，不管投诉也好还是什么也好，这些事情是没问题的。
[54:46] 说话人 1: 嗯嗯，嗯大家可以放心啊，嗯找不着他就找我来啊。嗯嗯你们俩兜底上吗？可以，就我我们给听友兜里是还是可以的啊，没有问题啊，大家放心行吧。那这期算是编码人生也算是科技乱炖的节目呢。就像跟大家聊到这些关于这个呃供应链攻击啊，还有这个软件安全啊等等这个方面的话题。大家如果有什么想听的，也可以在这个两个节目的评论区来给我们留言吧。好吧，然后呢，我们看后面编码，人生可能还会录一些重磅节目，可以得给大家预告一下啊。因为这两天我看编码人生的我们的策划小朋友在川西式写提纲。对我对，但是请来的都是一些大咖。因为那个RTE开发者社区最近要开年会了啊，我们也想借着这个机会呢会跟大家去聊点重磅的硬核的东西。大家如果有话题方面的期待呢，也欢迎告诉我们，好吧。行，那我们的这期节目呢就录到这里，感谢大家的收听，我们下期节目再见，拜拜再见，拜拜。
[55:53] 说话人 1: 感谢您收听本期节目。本期播客节目由津津乐道制作播出。您也可以在我们的官网DAO点FM找到我们的更多内容作品。如果您喜欢我们的节目，欢迎在微信、微博、朋友圈等社交媒体转发分享。您的分享对我们而言十分重要。如果您希望与我们互动，可以关注我们的微信公公众号，津津乐道播客。天津的津，欢乐的乐道路的道在关注后，按提示操作即可加入我们的听友社群。

Shows are listed from Apple Podcasts' charts and directory, and Podcast Index where it is used. Every show and episode belongs to its publisher and plays from the publisher's own feed; this site hosts none of them.