对sslibjpg系列软件的反思

阿木特 · 发表于 2011-10-19 14:35:37

自sslibjpg 2.0在论坛公开发布，至今该系列软件也已经有了十几个版本了。该系列软件基本都是含有漏洞软件，尽管有的漏洞很小（如sslibjpgdown），不足以引起广泛的关注。

含洞软件最大的问题，就是无法限制漏洞的扩散，何况还有一些别有用心的人，肆意扩散，疯狂扫描。

sslibjpg2.0 被馿窟恶意扩散的教训是严重的，送给朋友的未加壳版本被馿窟恶意扩散，无论如何都让人感到心疼，不是因为软件，而是因为道德的沦丧。至今我想起馿窟那个馿老大丑恶的嘴脸、柳下惠恶毒的言辞，就情不自禁发出这样的感慨：“天下还有馿老大这样无耻的读书人！”

sslibjpg2.0失效后，陆续推出了后续版本，吸取了sslibjpg2.0的教训，都经过了不同程度的加密，自然馿窟要想再搞到手，是要付出相当代价的，不可能再有顺手牵羊的好事了。

sslibjpg3.5的推出，是对duxiu和sslib权限的彻底揭秘。如何在没有帐号、没有权限的情况下找到一本书存在于哪机构里？恐怕是许多人梦寐以求的。sslibjpg3.5正迎合了这部分需求。

对于sslibjpg3.5，馿窟也极尽其能事进行破解，但终归能力所限，无法搞懂软件所含漏洞的奥秘，所以才保证了sslibjpg3.5的安全。当然该漏洞在存活近8个月后也寿终正寝，于是才有了sslibjpg3.6。

斗转星移，如今馿窟也推出了类似军军的getsslib的软件，尽管照猫画虎，但仍然像猫。当然，这不是什么问题，软件谁都可以编，只要不是窃取的。

但是馿窟对于该软件和所售cookie的做法，值得反思。

（1）对某个key的保护。

馿窟的这个软件中含有某个key，尽管该key对许多人已经不是什么秘密，但或许会导致灾难性后果。当初我的sslibjpg2.0内部未加壳版本也使用了该key，也是被馿窟肆意扩散的，否则也不会感到痛心。

在我所有公开发布的软件中，所有链接都是基于漏洞的返回，无论如何都不会让key存在于软件中。但馿窟为了这个他们所宣称的“cookie合集”，不惜将key放到软件中了。

这里我自己需要反思的是，sslibjpg3.5留给用户的信息或许太多了，让用户知道了所谓高权限的单位，知道了所谓高权限单位cookie的重要性，才导致了此一系列的问题。看来以后需要在这方面进行思考，以防止泄露过多的信息。

（2）cookie的问题。

这个是需要大家共同反思的。园地所售cookie基本没有限制，但馿窟对于北理工珠海的cookie，却设置了很高的威望，而且需要总版主批准。想当初馿窟疯狂扩散园地软件时，可没有搞这种限制啊。这让我想起了某些社会现象：花父母的钱，都大手大脚；花自己的钱，却对每一个子儿都算计。

这是为什么？希望大家都能思考一下。

也给那些被馿窟盗号的会员提个醒，正是你的疏忽，才导致了馿窟的窃取；

也给那些把软件或漏洞扩散到馿窟的会员提个醒，看看馿窟是怎么做的？

mxqchina · 发表于 2011-10-19 14:57:26

删除前面自己发言，不想引起误会，要河蟹。

阿木特 · 发表于 2011-10-19 14:58:35

这里再次提醒，保护好自己的帐号，不仅仅是自己的事，而且关系到论坛的安全。

一旦被馿窟盗号，自己的损失是小事，馿窟用你的号去窃取软件、漏洞、资源，造成的损失却是大家的。

要设置复杂密码，并定期更换，防止自己的信息泄露。

阿木特 · 发表于 2011-10-19 15:05:07

引用第1楼mxqchina于2011-10-19 14:57发表的 :
采取目前胡萝卜和mjpd【龙虾】的方式比较好，不过需要服务器的支持。

就不要提什么胡萝卜了，胡萝卜早就成了馿窟的pdg来源了。胡萝卜服务器挂机时，馿窟更着急。

wumweicao · 发表于 2011-10-19 15:24:05

园地密码支持中文和英文的，建议设置中英文混杂的密码

ldj4618 · 发表于 2011-10-19 15:27:05

园地登陆能否加上问题验证，这个能好些

aann888 · 发表于 2011-10-19 15:35:17

莫将容易得，便作等闲看。为了园地大家共同的利益，希望大家好好珍惜现在来之不易的“幸福生活”，支持阿木特大侠！

dingdangch · 发表于 2011-10-19 15:56:58

既然说到了胡萝卜，俺就插一句嘴，胡萝卜只做自己认为正确的事情，没有大侠们的高瞻远瞩，也不热衷于打击什么对象，更不会因为有几只耗子就不存粮。当然，大家都是玩，玩得开心就好，咱也乐得看看热闹。

scdymy · 发表于 2011-10-19 16:53:22

反正是以求书为主，所以基本没看懂

xuexi2010 · 发表于 2011-10-19 17:03:29

3.5是长寿软件,持续到现在,阿木兄对此类软件是开辟性的,一些不好情况也是确实一直存在,感谢阿木兄所做的贡献

泪之梦 · 发表于 2011-10-19 18:25:18

支持一下。

l47568 · 发表于 2011-10-19 18:42:58

支持阿木。

coolspace · 发表于 2011-10-19 19:11:56

CX key 多着去了，随便就能数出好几个

竹影骑士 · 发表于 2011-10-19 22:56:40

轻松点、愉快点，玩玩也未尝不可，何必太累。

zhangred · 发表于 2011-10-19 23:26:12

真心支持阿木特大侠

陶梦 · 发表于 2011-10-19 23:48:12

读书累没有编软件累，编写累没有保护软件累，

ddm1234 · 发表于 2011-10-20 00:38:18

支持

石涧 · 发表于 2011-10-20 00:52:47

支持老大。。。老大辛苦。。。。。珍惜id。。。。。。

xaywg · 发表于 2011-10-20 03:38:29

夜半阅读阿木特大侠的帖子，深为阿木特的敬业精神所感动，论坛正是由于像阿木特这样的人才显得丰富，才叫人回味。
感受到coolman 阿木特等人追求完美的至高境界，委实汗颜。
或许中国就缺少这样的人。
但愿人人都能心口一致，为论坛做一点实质性的工作，阿木特都能反思，我们更应该反思了。

阿木特 · 发表于 2011-10-21 09:39:52

引用第7楼dingdangch于2011-10-19 15:56发表的 :
既然说到了胡萝卜，俺就插一句嘴，胡萝卜只做自己认为正确的事情，没有大侠们的高瞻远瞩，也不热衷于打击什么对象，更不会因为有几只耗子就不存粮。当然，大家都是玩，玩得开心就好，咱也乐得看看热闹。

这正是耗子的最爱，多养几只耗子也没什么，只要开心就好。

养馿老大这样的女干部模样的耗子，古人的话可以改成“姑息养女干部模样的耗子了”。

		自动登录	找回密码
密码			注册

[【心情日记】] 对sslibjpg系列软件的反思

本帖子中包含更多资源

本帖子中包含更多资源