B站(bilibili)后端源码泄露,我们可以从中了解多少信息安全知识和代码里的有趣信息

B站源码泄露背景:
晚间逛V2社区的时候刷到了这么一条帖子:Openbilibili? B 站在 Github 上公开了自己的后端源代码。 
下面各位V友吃瓜群众或喜闻乐见,或惊奇不已,我是个凡人我也不例外!作为一名合格的吃瓜群众,当然要立马去GitHub fork了一份,但是gayhub:https://github.com/openbilibili/go-common 却提示我This repository has been disabled.这个不能忍!最简单的办法就是看那些手快的已经fork了,在从他哪里fork一份过来,如果你fork失败那就直接下载,前面两种方法都不行的话可以看热心的V友们提供的分流下载地址,但是不保证原滋原味那怎么保证原汁原味呢?就有V有讨论了,看提交历史,其中有这么一段,
commit beccf3fe4313be190d655c9f0620a6b4fac0b522 (HEAD -> master, origin/master, origin/HEAD)
Author: root <root@vultr.guest>
Date:   Mon Apr 22 02:59:20 2019 +0000

    init

但是紧接着就有不同的意见,并且复现了可以以特定的提交者信息显示,
提交历史复现.png
而且这个GitHub
openbilibili也是十个小时前全新创建的,
B站源码泄露者GitHub账号.png
那么谁泄露的也就成了讨论热点,有的说是前员工,有的说是被黑了众说纷纭,我们不需要去追究谁,站方自然会去追究,我们来看一下这份源码有哪些有趣的地方。

第一个:弱口令
B站的内网弱口令.jpg

在源码在搜索root或者是123456,可以看到有dns和readDSN的连接是root:123456这样的简单的账号密码组合,当然地址是内网的,应该是内网的同意网关出口之类的,这也算一个安全隐患吧,要是别人进了内网或者是内网同事自扫描一波,那岂不是不可言喻...弱口令永远都是第一威胁,我在渗透测试中对于弱口令也是屡试不爽,比如拿到了后台账号或者数据库连接相关信息后,直接去连接远程桌面,有很大可能会成功,特别是前两者都为true的时候!这也表明管理员喜欢使用同一个账号密码的弱密码!
第二个:rank相关算法泄露
这些rank算法的泄露对于B站来说或许会有点麻烦,需要更新新的算法,不然大家都知道你的算法了,就很有可能据此找到相关漏洞从而加以利用,虽然B站在微博说了这是早前的代码不是最新的代码,但是后端大体的架构还是不会变化太多啊。官方微博原文:[在网上流传;经内部紧急核查;确认该部分代码;我们已经执行了主动的防御措施;确认此事件不会影响到网络安全和用户数据安全;我们已于第一时间报案;将调查其源头;],但是微博后来又自己删除了,通过看代码的最后提交日期,搜索相关的关键词比如拜年这些,基本可以确定代码肯定不是最新的,但是也是最近半年的。但是事发后貌似B站的毛老师@毛剑表示:我都不慌,你们慌什么:
B站毛剑.jpeg

第三:GO语言在后端代码中占主要
B站泄露程序使用语言.png
B站泄露源码使用语言统计.png

其中Go 89.7% Python 10.1%,外加一些其他的shell脚本、html和javasript这些
第四:程序员和产品经理之间的战争
B站程序员Fuck-chanpin.png

在源码中搜索fuck相关词语可以看到很多类似于fuck chanpin 、fuck game、fuck article等等
第五:还有比较耿直的注释
B站程序员耿直的注释.jpg

B站的弹幕你看到的不一定都是真实的!在源码中有这么一段代码,其注释显示在中奖环节,即使你没有中奖,系统也会代你发布弹幕!从而造成一种很多人中奖的现象,而且概率是20%!
第六:B站有趣的程序员
B站打油诗.jpg

有一首打油诗:
代码垃圾非我意,
自己动手分田地;
你若气死谁如意?
谈笑风生活长命。
powered by 主站质保团队。
第七:疑似B站在线用户统计和HotWord热词
B站HotWord.jpg
B站在线用户数统计.jpg
最后,我也fork了一份,对于感兴趣的可以去下载:https://github.com/Mr-xn/openbilibili ,看看学习一下他们的GO语言代码也是不错的。如果站方要求删除的话我会删除的,有需要的自己保存。
2019-04-25更新:Github 在 bilibili 发了 DCMA后 屏蔽了,故我上传我之前打包的,欢迎下载:bilibilihide-master.zip bilibil_master.zip 两个版本时间先后不一样,作为学习 GO 下载学习一下还是不错的,也不影响。

相关日志:

免费下载江门网站设计的网页整站源码

号称全球最权威的监控软件 FlexiSPY 被黑,相关源码、编译、文档被泄漏

B站源码泄露后续-GO代码行数、网警锁定、关键词过滤、人气倍率、真假播放量、作弊粉丝数

漏洞练习平台总结

清空Github上某个文件的历史

文章来源:

Author:Mrxn
link:https://mrxn.net/news/about-bilibili-source-code.html