本文转载自 新智元
PHP的git服务器被攻击了,合入了两个恶意commit,nikic发信称将迁移仓库到GitHub上。代码中竟然包括「Zerodium」,莫非背后有什么交易?
PHP的一名贡献者Nikita Popov (网名nikic)公开发信称,php的git服务器被黑客攻入。
nikic是PHP的主要contributor,目前在Jetbrains旗下的PhpStorm项目工作,并且开发过许多PHP的开源库。他也是LLVM项目的开发者。
信中说3月28日晚上,两个恶意的commit提交到了php-src仓库中,以Rasmus Lerdorf和nikic的名义提交。
虽然目前还不知道黑客是如何攻入PHP的离线git服务器git.php.net,但服务器确实存在安全隐患。
为了防止今后再发生类似的事件,git.php.net服务器将会关停,目前仍可访问。
以前php-src在GitHub上的仓库仅作为镜像使用,今后的修改将直接提交到GitHub上。
如果还没有申请GitHub仓库上PHP组织的权限,则需要联系nikic申请。
在GitHub上的提交都要开启2FA(双重身份验证)认证。
在开启2FA后,每次需要移动设备来额外验证一次身份,通过扫描二维码获取验证码。
恶意提交
名为「fix typo」上的一次提交于两天前。
增加了几行代码,如果字符串以「zerodium」开头,则会攻击用户的服务器,日期标注为mid 2017,并表示这个漏洞卖给了zerodium。
Zerodium是一家关注信息安全的美国公司,成立于2015年,总部位于华盛顿和欧洲,它的主要业务是从安全研究人员手中第一时间获取攻击信息。
Zerodium的CEO发推特表示「我是清白的」。显然,发现这个bug的研究人员想把这个漏洞卖给其他公司,但是没人想买。
Reddit网友表示,这作案手段也太明显了。
根据Web Technology Surveys的调查结果显示,超过80%的网站都在使用PHP,例如WordPress等。
这个小「失误」会影响到PHP的地位吗?
参考资料:
https://news-web.php.net/php.internals/113838