訪談：Linktalk插件漏洞發現者高旭東

　　2009年8月10日晚開源插件網發表題為‘Linktalk插件疑似驚現漏洞 uchome創始人身份被輕易冒用’的新聞后，頃刻間在廣大站長和網友間炸開了鍋。該漏洞的發現使得正在使用uchome程序搭建的SNS網站的站長陷入了是否為了安全起見暫時停止使用或者關閉安裝了的Linktalk即時聊天程序這樣一個進退兩難的境地，也使原本打算安裝該程序的站長則更多選擇旁觀事情的進展，不敢冒然安裝該插件。到了第二天，作為Linktalk插件漏洞發現者也在閱讀完開源插件網對這件事情的報道后浮出水面，受邀訪談講述詳細經過。

　　

　　序：今天是2009年8月13日星期四，開源插件網推出的是一期特別的訪談節目—《專訪Linktalk插件漏洞發現者》。欲知前事的朋友可登陸網站查閱標題為《Linktalk插件疑似驚現漏洞 uchome創始人身份被輕易冒用》的文章，這里就不再累贅講述。這件事情發生后，廣大站長和網友們在關注Linktalk插件安全性問題的同時，也對事件背后這個漏洞的發現者感起冒來：他到底是誰?他是什么時候發現這個漏洞的?他是怎么發現這個漏洞的?這些藏在網友們心里的疑云今天就將被揭開。

　　開源插件網：各位晚上好，開源插件網訪談又如約與大家見面了。今晚我們邀請到的嘉賓非常特別，他既不是一名站長也不是一名插件作者，但是他卻賺足了廣大站長和網友們的眼球—Linktalk插件漏洞發現者。我們可以叫他：往事隨風，這是他的網名。現在他應邀做客QQ訪談現場，跟我們詳細說明經過。我們的訪談即將開始，我們溫馨提醒您保持安靜，謝謝!同時請大家不要急于提問，訪談過程中我們有專門的時間留給大家提問。

　　開源插件網：往事隨風，你好!非常感謝你爽快的應邀來到QQ群訪談現場。我們知道你有一個特殊的身份是Linktalk插件漏洞發現者，我相信網友們也很感興趣你的其他身份。現在請你跟大家簡單地介紹一下自己。

　　往事隨風：恩，我的真實名字叫高旭東，來自石家莊的一個小山村，現在還在石家莊經濟學院上大學，性格稍顯內向穩重，從小愛鉆研愛學習，不想上大學之后迷上了網絡尤其對網站情有獨鐘，在過去兩年多時間里一直在這個領域里打混，這個暑假我會發布自己的網站新系列，算是我在這個領域里的新嘗試吧，由于我技術不精所以我認為目前我只能可以看做一個很癡心的愛好者，最多算是一個小小的草根，我以后的路還有很長，大家可以到心憩空間(http://hi.baidu.com/wxz52155)關注我的一切，我已經開了linktalk專門的欄目，有我對這件事情的所有想法，歡迎大家，謝謝!

　　開源插件網：是的，我們已經迫不及待地想知道你對這件事情的想法。首先我們想問的是：開源插件網在8月10日晚上11點16分接到寧波人社區(yood.cn)站長夏天的爆料后發表了一篇標題為《Linktalk插件疑似驚現漏洞 uchome創始人身份被輕易冒用》的文章，你當時是怎么看到這篇文章的，你的第一個反應是什么?

　　往事隨風：好的，我最先是在discuz論壇里看到這個名字的帖子，鏈接到貴站后看到報道的，說實話看了之后很吃驚感覺不是太好，我沒想到夏天會在網上發布這個消息，我原來是想讓他把linktalk暫停，過幾天解決了再使用，然后再聯系linktalk作者解決的，但是信息一這樣爆出我就別無選擇只能想辦法把事情弄大讓更多的人知道，這樣才能讓大家暫停使用，我是擔心像我這樣低水平的人都能發現，有好多的高手只要他知道有這樣的漏洞肯定會在短時間內發現的，所以我覺得當務之急就是先發布我的說明文章驗證新聞的正確性給大家提醒先保證大家的安全，然后想辦法解決!就是這樣!

　　開源插件網：恩，感受得出來你的良苦用心。但目前來說還有很多網友不知道當時的具體情況，請你跟大家詳細說說當晚你在該網站中做了什么具體的操作?

　　往事隨風：好吧，具體時間我記不清楚了，我是在uchome論壇查找信息時看到了寧波人社區發布的一個uchome2.0的模板，感興趣所以就到他的網站去看效果并注冊了會員，當看到其網站也裝有linktalk時我想到我剛剛發現的漏洞證據不是很充分，所以就想試試是不是每個網站都行，我就按自己的方法連上了他的網站，我以admin身份進入linktalk，linktalk上面顯示的是站長的十幾個好友，還有他加入的數十個群組，我在其中一個群組里發言問有沒有人在，結果沒有人回復，就退出了，然后我打開他的好友列表選擇第一個好友問他在網站里是什么職務等等結果對方就問我：你不是**嗎?我就想肯定他們認識，所以我只能說是逗他玩呢，然后就離開了，怎么說呢，有點被抓的感覺，雖然沒干啥也覺得不太好，之后我為了得到寧波人社區的模版在論壇里反復的回帖，大概十幾分鐘后我又打開了我的網站(因為當時只是關掉網頁并沒有把鏈接斷掉)里面還是那位站長的linktalk，我看到了夏天發給我的消息，就是大家在圖片中看到的對話，我跟他說這是linktalk本身的漏洞，我沒有真的侵入系統只是冒用讓他別擔心我沒有啥惡意，勸他暫時卸載，然后我也就離開了，事情就是這樣!寧波人社區站長現在也在現場他應該還記得!

　　開源插件網：是的，當時他在我們這個QQ訪談群里說這個事情的時候，我們都很震驚。同時我們很關心的還有一個關鍵性的問題：你是在什么時候發現這個漏洞的?是怎么發現的?

　　往事隨風： 哦，大概是在10號下午我在discuz論壇里看到有關一個linktalk的投票，在那里我看到大部分的人選擇的是linktalk，以前我也用過這個插件，只是當時沒有支持asp.net的空間，所以也只是下載沒有試過，它的特點很明顯，功能強悍，免費，還全部本地化，所以我當時就下載了，回來在調試的時候出現一些問題，在解決的時候發現了這個特大的漏洞，具體的漏洞說明我會在幾天后公布，現在就不再具體說了!謝謝!

　　開源插件網：呵呵，原來這個漏洞是這么被你發現的。對這個漏洞，站長們應該很清楚它的危害性，但是有些網友可能還不清楚，請你跟大家說說linktalk存在這個漏洞具體有什么危害?

　　往事隨風：這個漏洞怎么說呢，相對于真正能導致入侵系統的漏洞危害相比要小得多，但是如果別有用心的人就不一樣了，就像我在說明中說的一樣，利用漏洞，可以冒充目標網站里的所有會員包括管理員，冒充后可以看到他的好友列表，群組信息，并且可以直接進入聊天，就和他本人在網站里使用完全一樣，大家試想一下，一個有1000人在線的群組里，如果管理員在里面發表一些言論是不是很有分量，如果發布一些特殊的有可能就會給網站帶來滅頂之災，再比如一個網站有很多的分站長都在一個群組里或和站長是好友，那么利用語言給對方指派對網站修改的任務，那么不就相當于是真正的入侵了嗎，所以說這個漏洞對于沒有啥惡意的人來說最多就是玩玩，可是要是碰見‘專才’，那目標網站就會面臨絕境!這個漏洞絕對不容小視，更何況現在uchome的安裝量特大，其中安裝linktalk的網站絕不在少數!假如大面積的出現這種情況那后果就真的不可想象!

　　開源插件網：這個危害聽起來就讓人毛骨悚然的。那當你發現竟然存在漏洞時，你的心情是怎么樣的?

　　往事隨風：我在發現的時候自然也是很震驚，本來我是想用它來充實我的網站，在不久之后我要發布的網站里有三個網站就會涉及到uchome，我當然會選擇它作為網站不可缺少的功能，并且開學后我會做一個我們學校的校內網，整個學校的同學都會使用，那么這個發現對于我來講無疑也是晴天霹靂，為做網站我把所有的精力都投入了，哪里有錢去買付費的插件!一時間我陷入困惑，但同時我也慶幸是我發現了這個漏洞，如果我的網站因為這個漏洞遭受損失后才知道真相，不就后悔莫及了嗎!謝謝!

　　開源插件網：恩，你對這個漏洞的危害性有這么清楚的認識，那你對廣大站長們有什么建議?對Linktalk有什么建議?

　　往事隨風：相信大家使用uchome的用戶和我一樣都想在這個sns崛起的時代，能通過我們在某一個垂直的領域里爭取自己的一席之地，為招攬會員留住會員而絞盡腦汁，用上linktalk我們自然就覺得是為網站注入了新的活力，也對這項新功能抱有很高的期望，得知這個消息后我想大家肯定會為難，我們的網站會員數量不一，多者數十萬少者數百，要突然停止使用對于網站來說是損失，也不好和會員交代，但是我想說為了我們的網站只是暫停使用，并不是說停止使用，大家應該相信這么多人肯定會快速解決的!同時也希望大家不要放棄linktalk，給點時間相信新的linktalk一定會破土而出!對于linktalk我很佩服它的作者，據說作者只是一個人的團隊，而且免費放出插件，我想說你給sns時代帶來了希望給開源帶來了活力，你的產品是對uch用戶最大的禮物，這幾天有對你的影響我深表歉意，我也沒有辦法，我發現了情況不能置之不理，希望作者可以理解，我相信在大家的共同努力下，新版的linktalk一定會成功，希望在新版的linktalk中首先解決這個漏洞，最好能全部做成PHP的，采用mysql數據庫管理，那么linktalk就會更安全更強大獨領風騷，取得成功!謝謝!

　　開源插件網：在這件事情發生后，你的心情應該說是百感交集的。借助我們這個平臺，對于這件事情，還有什么是你想跟大家說明的?

　　往事隨風：好的，這件事情近幾天在uchome領域里的影響還是比較大的。或許有很多人受到影響，有的人說我別有用心，有的人說我是linktalk的競爭對手，還有人說我在炒作，對于我個人來講并不太在意，每件事情發生了總會有不同的觀點，我和大家都是個普普通通的站長，和linktalk無冤無仇，我只是在做我認為應該做的，就像開源插件網站長浪遏飛舟說的一樣：‘你在大街上看到有個路燈快要掉下來了，你是不是就裝瞎子?不管了!還是應該盡自己的良心提醒大家呢? ’我想互聯網每天都會有各種各樣的事情發生每個漏洞過后就會有更完美的作品出來，進步總會有付出，真的希望大家理解，同時希望得到大家的支持，把事情告訴自己身邊的uchome站長，把危險降到最低，我們共同努力維護安全，共同期待linktalk的再次崛起吧!謝謝!

　　開源插件網：撇開這件事來說，你對插件感興趣嗎?還有就是對目前討論熱烈的SNS有什么看法?

　　往事隨風：謝謝，插件可以說是uchome開源的最大結晶，越來越多而且越來越優秀的uch插件誕生使uchome的生命力更加的增強，我個人很喜歡上網尋找各種插件，當然不是官方的插件的安全度可能就會稍微不足，但是我們可以經過一段時間的檢驗和測試，當插件有漏洞的時候就必定會催生出更高的版本，除非插件作者就此放棄，我想所有的作者都會努力去挽回創造更高的輝煌，所以大部分的插件我還是比較放心的，也比較喜歡。sns的崛起是近幾年來最熱門的話題，給我們的網絡生活帶來了樂趣，同時也給我們廣大站長帶來了機遇，在越來越多的小領域里出現了優秀的sns站點，在網絡大海中有了自己的一席之地，sns的神話還會繼續，而且現在sns站點的花樣也是層出不窮，隨著uchome的推出和不斷升級sns市場越見明亮，所以我想只要我們堅持我們自己的領地再堅持就一定會成功!謝謝!

　　開源插件網：恩，也謝謝你剛才精彩的回答。現在在我們談現場就有yood.cn的站長，他就是這件事件的當事人，當時還跟你對過話。我們先讓他講講當時的情景和感受?

　　寧波人社區：我當時發現他冒用我的身份在我的網站上活動時，我首先感到的是震驚。我心里想，這次怕是遇到黑客了。我唯一擔心的就是他會在我的站里搞破壞，同時也很好奇他到底是怎么進來的。我有點緊張，所以趕快把相關的圖片抓下來然后到這個群里來和站長朋友們交流下，過程大概就是這樣。

　　開源插件網：你有什么話想跟往事隨風說的?

　　寧波人社區：呵呵，我感謝你沒有在我的站里做任何的破壞行為，而且善意提醒我暫時停止使用linktalk。感覺你是個很有正義感的人，發現了這樣的漏洞就希望能夠提醒更多的站長注意安全，這種精神可嘉啊。

　　開源插件網：看來作為你個人也是支持他把這個漏洞公布出來的。那我們的訪談暫時就到這里。接下來的時間是群友們的提問，請嘉賓做好準備接招吧。大家可以盡情開炮了!謝謝!

　　廣州社區mygz.n：請問嘉賓，webim真的對sns有幫助嗎?我怎么感覺有了webIM后，社區的會員活動明顯減少了呢?

　　往事隨風：當然有幫助了，在網站里和好友聊天可以拉近彼此的距離啊!這是距離變短了，拉近了。

　　廣州社區mygz.n：但是不活動了，聊qq去了。

　　往事隨風：在網站里這樣聊天不就和qq一樣嗎?QQ你能輕易建群嗎?更何況是上百上千的群了。

　　廣州社區mygz.n：但是我站實際的效果就是網站pv數急劇下降。

　　往事隨風：但是，webim絕對可以增加網站用戶的粘滯性。

　　鬼淘陶♀:：我問一下 往事隨風 先生： 你對PHP的了解程度有多少?你發現這個漏洞是巧合還是認真研究過talk?

　　往事隨風：說實話我對PHP不是很了解，發現這個漏洞也算是巧合。

　　···········

　　開源插件網：謝謝大家的踴躍提問。但是時間有限，我們要回歸到訪談中來，所以請大家耐心等待一會，謝謝!

　　開源插件網：從剛才的提問中，大家都對你很感興趣啊!我們來替網友們問問：接下來你會忙些什么?

　　往事隨風：接下來我想繼續我的網站系列，首先要在17日也就是下周一正式發布我的新站 網賺之家(http://www.wangzhuan51.com)然后我就會相繼推出我的其他網站，比如第一方言、專輯51、我愛石家莊，還有我的個人博客也將開通(http://www.gaoxudong.com.cn)開學之后大概就會全力維護我們經濟學院的校內網了,就算是為本校做點貢獻吧，網站發布后還有好多的路要走，這還得需要大家的鼎力支持和關注了，我還要盡力學習有關網站的技術，一直以來我只會修修剪剪，編程方面就是菜鳥一個了，呵呵!當然了，最主要的還是首先整理出來漏洞的細節，我會在16日就是本周日晚間在我的空間和17cha8.cn(開源插件網)同時公布漏洞，望大家這幾天內盡快做好準備!謝謝!

　　開源插件網：好的，希望更多的站長能提高警惕，避免危害的蔓延。最后非常感謝你能來做客我們的訪談現場，也希望你能常來。

　　往事隨風：也很感謝開源插件網的邀請，我發現開源插件網雖然是新開的網站，但是你們的精神讓我佩服，我相信有你們這種努力17cha8一定能越走越遠，越辦越好，感謝大家的等候和支持，我會將最新的情況了想法寫在我的空間或者以投稿的形式傳到開源插件網請大家留意，再次感謝大家，感謝開源插件網!謝謝!

　　開源插件網：感謝你的支持!開源插件網祝福你和你即將推出的網站的發展能更上一層樓，同時我們也會在第一時間跟進linktalk漏洞事件的最新進展。開源插件網會在短時間內發表本次訪談的文稿，敬請留意。好的，我們今天的訪談就到這里，非常感謝大家的耐心支持。同時開源插件網非常歡迎有更多的站長朋友和插件作者們加入我們的互動空間來，讓更多的人認識你，認識你的作品。有興趣參與的朋友可加QQ群:70947141 或登錄開源插件網，下一個邀請的嘉賓就會是你。更多精彩故事盡在17cha8，謝謝大家，我們下期不見不散!

　　本訪談首發開源插件網：http://www.17cha8.cn/bencandy.php?fid-85-id-201.htm