从zblog作者一条大河插件存在后门说说关于zblog应用中心的问题 使用交流

用户 七月上 7月前 2604

起因:

渐进式缓存加速(全站静态缓存)这个插件更新了新版本,新版本插件更新会自动捆绑一个插件:


而这个插件是应用商店没有的,因为本人帮很多0基础的用户部署/维护站点,因为自己的账号在网上做了不少广告,担心吐槽招来一波黑子影响后续业务,于是就用小号来吐槽下这个问题。


接着问题就来了,没几分钟,这个一条大河就加上了我的qq,询问这个评论的问题,正常情况来说,用户的个人资料是无法获得的,不知道这个开发者从哪里得知我的qq,因为本人不是zblog开发者,所以不知道开发者是否有特权可以查看用户的资料,当然这个是小问题暂且不表。

接着细思极恐的问题来了,今天一个客户给我qq发来消息,如图:


这个站点是测试站点并未投入运营,竟然收到这么一条留言,这里我就非常好奇,这个客户完全小白,后台操作都搞不明白的一个客户,所以不存在客户自己去泄漏这个测试站点的情况,而本人并没有把这个测试站点发到任何地方,那么这个黑子是如何得知我这个站点的呢?结合直奔主题的说我盗版别人插件,这里一想必然是开发者一条大河带的节奏吧,那个站点并未启用其他插件主题,只是用来测试新的插件是否有问题,然后部署到客户实际运营的站点,最初没有提供订单号,就是为了避免此类情况发生。

然而依旧如此。

由此引发了一个很重要的问题,这个开发者如何得知我这个站点呢?答案很简单,必然是后门,本人并不是很精通代码,简单的看了下,

渐进式缓存加速(全站静态缓存)这个插件所捆绑的一条大河应用盒子插件,看到了这个接口,



看到了吧,这是作者自己的接口,下载,升级,完全通过该开发者自己的服务器来进行,得到我站点链接也说得通了。

是否存在其他后门,因为本人技术有限,实在无力分析,有感兴趣的朋友可以回帖,我提供样本以供分析。

目前我已经在所有我维护的站点停用了该开发者的应用,且逐步排查其他应用是否有这种开发者自带后门的情况,

目前我自己发现的情况,开发者一条大河所有的插件近期更新,都加入了这个捆绑后门,各位站长需要注意一下。

2022年了,新兴平台太多,传统站点太难生存了,相信百分之90的站长所有投入都化为乌有,做站本身就不易了,

相信很多选择zblog的用户都是因为有官方监管的应用商店,应用安全,质量能得到保障,

zblog是个好平台,相比wp性能好,国人开发,用起来更得心应手,个人觉得随着时间的发展,

zblog至少国内会超越wp,出了这个事情,真的很让我难过。

希望官方人员看到此帖,能麻烦来解释下,这种行为是否是官方允许的行为,也希望各位用户能来一起交流下自己的看法。


更新,

被揭穿的开发者已经暴跳如雷,已经在人肉我以及我的朋友们,开始说我是【盗版源码资源站】站长,本人未做过类似的站点,所以也很好奇,和客户沟通了一下,他当初这个发现捆绑的测试站点服务器上面存在一个ripro的测试站,呵呵神通广大,厉害的很啊。

我从未透漏过这个客户的站点,也隐藏了自己购买的订单号,可是隐私还是泄漏出去了,因为什么呢?

我想诸位朋友心里也清楚的很,仅仅装了一个插件,我这个朋友内裤都要被扒出来了,真的吓人,

所以各位以后遇到这种问题还是不要出头了,个人的声音是翻不起来浪花的,自身安全最重要。

个人在此呼吁官方商店,用户个人信息应该保存在官方手中,而不是我随便买一个开发者的应用,底裤都要露出来了。

现在这个开发者在对我和我的客户轮流骚扰,客户一直在和我寻求解决方式,后续处理已经忙的焦头烂额,此贴大概率不会更新了。

最后于 7月前 被七月上编辑 ,原因: 更新内容
最新回复 (1)
全部楼主
  • 用户 游戏人生 7月前 1
    引用 1
    正版盗版,还是强制安装先放一边,看完作者回复用户那种态度,满口脏话,说明什么,,,自己想想
    • ZBlogger技术交流中心
      3
          
返回
发新帖