点击上方“Java基基”，选择“设为星标”
做积极的人，而不是积极废人！
每天 14:00 更新文章，每天掉亿点点头发...
源码精品专栏
来源：OSC开源社区（ID：oschina2013）
近期， Linus Torvalds（Linus ） 在 Linux 的 GitHub 仓库中提交了一个恶作剧 README 页面：
https://github.com/torvalds/linux/tree/8bcab0346d4fcf21b97046eb44db8cf37ddd6da0，其备注名为《delete linux because it sucks》
—— 我删除了 Linux ，因为它就是个垃圾。
大家好，我是 linus torvalds（Linus ），红极一时的 linux 的作者。你可以查看 repo 的 url 和文件顶部的名字，它们可以证明是我本人在提交。
我删除了 linux，因为我讨厌它，我认为它很烂。你应该去用这个很棒的操作系统，它叫做 windows xp，我刚刚发现它真的很棒。
为什么说这是一场恶作剧呢？因为 Linux 的源代码并没有被删除，而且有细心的网友发现：该 README 最底部还有一个链接：
这个链接指向 Hacker News 黑客论坛的一个帖子，帖子详细介绍了 GitHub 现存的“虚假提交”漏洞：可以在
https://github.com/my/project
的 URL下发布任意提交。
比如用
https://github.com/my/project/blob/<faked_commit>/README.md
这种 URL ，就可以发布虚假的 README 页面，这种虚假提交不会出现在项目的提交记录里面，也不属于任何一个分支，只能通过访问特定的 URL 看到。而 Linus 这个恶作剧 README 文件正是利用了这个虚假提交漏洞，看一下这个 README 的 URL ：
如果是正常的提交，URL 应该带有 commit 字眼 ，比如：
除了URL 不对外，该 README 文件也未出现在提交记录中：
由此可见，Linus 只是开了个玩笑，并非真的删库跑路。
对此漏洞感兴趣的可以去看看 Hacker News 的原帖，这个虚假提交漏洞结合 GitHub 另一个“通过 git 电子邮件地址冒充用户”
漏洞：
https://bounty.github.com/ineligible.html#impersonating_a_user_through_git_email_address
能创造出以假乱真的钓鱼页面。
比如
https://github.com/slimsag/linux/tree/5895e21f3c744ed9829e3afe9691e3eb1b1932ae#linux-kernel
这个仓库，看起来似乎 Linus 本人参与了这个仓库的建设：
然而这只是通过替换电子邮件地址漏洞，把 slimsag 换成了 torvalds 而已。
左边是通过漏洞替换邮件地址的 torvalds ，右边是正常的，仔细观察对比可以发现，障眼法换出来的 torvalds 是不显示活动记录的。
这些GitHub 漏洞都是 2020 年公开的，然而漏洞作者称“GitHub 完全不把这些问题当作漏洞”，不知道 GitHub 是无法处理，或是认为没必要处理，反正直到现在它们仍能被利用。
欢迎加入我的知识星球，一起探讨架构，交流源码。加入方式，长按下方二维码噢：
已在知识星球更新源码解析如下：
最近更新《芋道 SpringBoot 2.X 入门》系列，已经 101 余篇，覆盖了 MyBatis、Redis、MongoDB、ES、分库分表、读写分离、SpringMVC、Webflux、权限、WebSocket、Dubbo、RabbitMQ、RocketMQ、Kafka、性能测试等等内容。
提供近 3W 行代码的 SpringBoot 示例，以及超 6W 行代码的电商微服务项目。
获取方式：点“在看”，关注公众号并回复 666 领取，更多内容陆续奉上。
文章有帮助的话，在看，转发吧。
谢谢支持哟 (*^__^*）
扫一扫
1438
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
