作为非安全圈(主要是门槛太高,进不去)非著名喷子,今天不谈技术,不谈漏洞,回归喷子本质。在经历完48小时 Log4j 的魔幻应急后, 我们这帮圈外喷子再次感叹,漏洞质量真的高,但有些人人品不太行。黑屋喷子们把这些人粗略划分为成这几类:偷偷修漏洞的既得利益者、Log4j、跟风凑热度者(包括漕河泾小黑屋)以及 “安全厂商”。
1. 偷偷修漏洞的既得利益者
这个漏洞在 2021年12月5日 的时候就已经提交了Commit[1],漏洞发现时间更早。部分厂商已经不慌不忙修了快一个礼拜了。
黑屋喷子们大概在周四下午从某董听到这个漏洞,起初是不信的,毕竟某董的嘴跑的比自家的威胁情报还快。后面发现这件事确实难为自家的威胁情报了,当时的互联网,包括 Log4j 官网,几乎没有相关漏洞信息。喷子们随即开始应急,然而截至周五中午,官网、Maven 上都没有发布已修复版本,官方也只提供了两个已修复问题的 Git tag。
部分厂商偷偷修漏洞,我没意见,毕竟安全部门对自家公司产品负有绝对责任。要么你做好保密工作,要么你督促官方早点发布补丁,但你偷偷修又偷偷共享漏洞信息,这是为何?大方公告一下很难?还是计划周五快下班的时候再对外公布?
部分朋友在分析、复现漏洞的时候,还发生了不少小插曲,比如有些人明明知道 Payload 长啥样,但就是不告诉你,还在你面前炫耀一番。
2. Log4j
这么严重的漏洞,都已经修了快5天了,还不在 Maven、官网上发布公告和修复版本,确实不理解。但喷子们不想多喷,因为他们看不懂中文。
3. 跟风凑热度者
这些人包括漕河泾小黑屋,因为这篇文章难以避免地凑了 Log4j 的热度。
48小时内,小黑屋的票圈充斥着大量的 Log4j 硬文、软文、表情包。硬文可以理解,分析 Log4j 和提供解决方案本身;表情包也可以理解,苦中作乐。
但软文喷子们就真的无法理解,转发几个都 DNS Log 的图片、文章就显得高大上?引用漕河泾小黑屋第一黑客的原话:“说的他们好像打成了一样,一半都自己还没复现”。
4. “安全厂商”
这里特意给 “安全厂商”打了双引号,毕竟不是所有安全厂商都这样。部分厂商还是挺厚道的,提供、不断更新解决方案,比如某宇、某亭等(本公众号不差钱,没收广告费)。但有一些 “安全厂商”就过分了,抄都能抄错,不求你们能解决问题,但求你们别刷屏。
一些 “安全厂商”还打出 “率先xxx” 的广告语,你们要是真的这么能,怎么不在周一的时候“率先”一下?
有一些 “安全厂商”甚至在朋友圈嘲笑甲方企业,喷子们只能说,你们自己的 Log4j 都没修完,还有精力在这边调侃?
一家之言,难免有不妥之处,请大家见谅。
愿 2022 没有史诗级漏洞。
Reference: