12
5
2015
21

博客「被入侵」之谜底

2015年9月13日，我的博客流量突然少了很多：

来自百度的访问量下降

因为博客突然被百度标记为「安全联盟提醒您：该页面可能已被非法篡改！」（后边那个峰的流量来源于知乎，与此事件并无关联。）

然而我一直未发现任何异常。我使用了 Google 站长工具，Google 也没说有任何异常。所以我以为这不过是百度又发了什么神经。毕竟它也说，「有一个网友举报」。「安全联盟」那里可以申请解封，但是需要出卖手机号等隐私。更神奇的是，它要求你修正问题，却连是什么问题都不清楚。「安全联盟」的客服表示，这事他们也不清楚。

然而几天前，又有网友报告我的博客跳转到了奇怪的页面。第一次有人报告时我只当用户系统或者网络的问题，虽然我也疑惑，恶意软件或者 ISP 插广告不至于插 CJB 的广告啊。但是对方并没有能力来调查此事。这次总算是遇到了一个会抓包的读者了。于是让报告者 @xuboying 帮忙抓包，这才真相大白。

简单地说，确实有页面在传输过程中被篡改了。至于是不是非法的，就得问「有关部门」了。

事情是这个样子的：我有一篇文章嵌入了 GitHub Gist。而 GitHub Gist 的域名 gist.github.com 被污染，其中一个污染 IP 为 216.234.179.13。这大概是 CJB 的源服务器地址。

本来呢，嵌入 GitHub Gist 的代码是这样子：

<script src="https://gist.github.com/lilydjwg/0bfa6807b88e6d39a995.js"></script>

当解析到 216.234.179.13 之后，最奇妙的事情发生了：

  1. CJB 使用了自签名、过期、弱密钥的证书。火狐会嫌它太弱而不可覆盖地拒绝，其它主流浏览器也会因为证书问题而报错。小米浏览器会询问用户是否接受有问题的证书（普通用户哪里懂这个啊，估计大都会选择接受吧）。一旦接受，则进入下一步。
  2. 该服务器在访问时会返回一句复合了 HTML 和 JavaScript 的脚本，修改window.location到 CJB 的主页。而引入 GitHub Gist 的方式恰好是 JavaScript 脚本，于是它得到执行，跳转到 CJB 主页去了……（不过现在只会返回空白页了。）

后来百度取消了那个「被非法篡改」的提示，不过权重依然很低，不注意看根本找不到我博客唉。

知道是 GitHub gist 的原因之后就可以很快找到遇到同样问题的人了，比如：

Category: 网络 | Tags: 网络 博客 安全 中国特色
10
12
2013
24

GM 脚本：在 Disqus 中提示需要登录

Disqus 越来越受欢迎，然而，非 Disqus 用户评论越来越艰难。

一开始，和 WordPress 一样，名字、电邮、网站。想要新评论通知？好呀，使用 Facebook、Twitter 或者 Google+ 登录下就好。

后来，「Twitter 用户，创建个 Disqus 帐号吧！」不想要 Disqus 帐号，那就不要登陆了，也甭想推广自己的博客，填上电邮地址显示个头像吧。当然，为了迫使你们登陆，名字和电邮信息也不像一般博客是记住的。下次继续填，继续勾选「以访客身份发布」。

现在，花了不少时间和心思写完很不错的评论，双击填名字的文本框填名字时，却经常发现刚展开的部分里那个「以访客身份发布」复选框没有了。「对不起，必须登录才能在此博客留言哦亲。」Holy shhhhhhhhhhhhhit!

此 GreaseMonkey 脚本为防止最后一种情况的发生，在你动手写下评论的时候明确告诉你不登录你的评论是发不出去的。

不过，由于我现在取不到自己的 Disqus 帐号密码，所以不确定登录 Disqus 帐号之后这个脚本能否正确检测到。欢迎反馈！

点击安装。

脚本全文如下：

// ==UserScript==
// @name        Disqus login required reminder
// @namespace   http://lilydjwg.is-programmer.com/
// @description Remind you if you can't post your comments because you aren't logged in
// @include     http://disqus.com/embed/comments/*
// @include     https://disqus.com/embed/comments/*
// @version     1
// ==/UserScript==

var check = function(){
  var el = document.querySelector('input[name="author-guest"]');
  if(!el){
    setTimeout(check, 100, false);
    return;
  }
  if(el.style.display == 'none'){
    console.log("login required");
    var msg = document.getElementsByClassName('placeholder')[0];
    msg.textContent = '需要登录 / Login Required!';
    msg.parentNode.addEventListener('blur', function(){
      var msg = document.getElementsByClassName('placeholder')[0];
      msg.textContent = '需要登录 / Login Required!';
    });
  }
};

setTimeout(check, 100, false);

点击安装。

附：我始终认为，不管登陆评论能给用户和自己带来多大的好处，只要文章允许评论，来访者应当能够以最小成本发表评论并且署名。也就是，不需要注册，不需要登录，你就可以评论。最好支持 Gravatar 头像，最好支持链接到自己的网站，最好支持被回复时 Email 提醒。实际上本博客非登录用户需要填写验证码我已经很不爽了，只是 Chito 这个博客程序提供的另一种反垃圾策略——使用 Akismet——我这边已经坏掉了。

所以我越来越敬佩 WordPress。

Category: 火狐 | Tags: 博客 火狐 网页 GreaseMonkey

Mastodon | Theme: Aeros 2.0 by TheBuckmaker.com