Морозное утро школьных каникул, я подхожу к дому и думаю о том, что надо было положить диски во внутренний карман куртки, а не в промёрзший рюкзак. Вдруг они заледенели и не будут работать? Дисков два: на одном — энциклопедия «Британника», купленная специально для фразы «Мам, я не играю, а учусь», на него было плевать. А вот за второй действительно тревожно — куплен он на свои деньги и на нём сборник хакерского софта и ещё каких-то взломанных программ (да, это были 90-е, и такое вот спокойно продавалось на рынке). Спустя неделю, изучив сборник вдоль и поперёк, я понимаю, что хакерство не моё, а идиотский, но милый фильм «Хакеры» врал. Разочарование сменилось внезапным открытием: к каждому релизу прилагался nfo-файл с перечислением хэндлов парней, взломавших софт, и иногда проникновенным манифестом каких-то чокнутых киберанархистов. И самое крутое: у всех этих команд были стильные лого, нарисованные – охренеть! – обычными текстовыми символами. Всё это было отголоском незнакомой эпохи цифрового андеграунда, в которой искусство взлома шло рука об руку с искусством ASCII и ANSI-арта.

Цифровое пиратство началось в 1977 году c выходом Apple II – первого серийного компьютера всем известной компании. Производители софта быстро просекли, что пользователи склонны делиться копиями программ и игр на дискетах, а это ведёт к убыткам. Так что софт стали снабжать защитой от копирования. Гики приняли вызов: программы всё так же уходили в народ, но уже взломанные альтруистами.

Интро взломанной игры «Star Trek: The Promethean Prophecy» для Apple II. Взлом был делом нелёгким, так что гордые пираты оставляли свои имена прямо в самой игре.
 
Рынок рос, за массового пользователя Apple пришлось сражаться с Atari и особенно с Commodore. Больше производителей, больше программ, больше пиратов. С появлением сети распространять варез стало ещё проще, и, что важнее: пираты наконец-то смогли общаться друг с другом на площадках, именуемых BBS.


Как-то так выглядел вход на BBS
 
BBS – это доска объявлений, «борда». Правда, она имела мало общего с современными бордами, напоминающими скорее свальную оргию разномастных обывателей. BBS были местом общения элиты, пионеров интернета до интернета. Подключение к BBS было практически сакральным действием. Скрежет модема предварял вход в храм информации, возведённый в цифровой пустоши неизвестным сетевым жрецом. Подключиться к нему мог только один человек за раз, так что адепт с другого конца света на время сессии становился Избранным. Он неторопливо бродил по святилищу, изучая тематические разделы, играя в примитивные игры и, что было совсем уж невообразимым: общаясь онлайн с сисопом (хозяином борды) или оставляя послания будущим посетителям.
 

Trade Wars 2002 – одна из лучших игр эпохи BBS, 1986 год
 
В 1984 появилась фидонет или просто «фидо», позволившая атомизированным ББС-кам обмениваться информацией. Возможность глобального общения привела к появлению групп по интересам, которые, в свою очередь, разделились на условный мейнстрим — гиков, увлеченных идеей сетевого комьюнити, и элиту — так называемые «релизные группы» или «сцену», распространявшую через BBS инструкции по взлому и непосредственно сам варез (взломанные программы). Попасть в такие группы было сложно. Номера телефонов давали только доверенным людям. Святой андеграунд.




Два мира
 
Кем были эти чуваки? Обычными 15-16тилетними щеглами, угоравшими по хеви-металу, комиксам и настолкам. Почему они это делали? Потому что могли. Иногда ещё из-за какого-то праведного подросткового анархо-максимализма, но по большей части потому что это было весело, а главное — уважаемо.


Сходка «сцены», примерно середина 90-х
 
Варез распространяли бесплатно. Во-первых, потому что это благородно, а во-вторых, за продажу софта можно было влететь на уголовный срок. Чтобы хоть как-то отбить затраты на бешеные телефонные счета, владельцы досок иногда вводили платную подписку для тех, кто хотел получить релиз в 0-day (день выхода программы).


Арт для варез-ББС. Внизу подпись: хэндл художника, в квадратных скобках — название команды
 
Релизные группы гордились своей работой. Логотипы команд, имена участников и иногда телефоны ББС-ок размещали в графическом и текстовом виде в интро взломанных игр и программ или в специальных nfo-файлах. Вначале это был аски-арт (ASCII – текстовая кодировка, с помощью которой можно было создавать картинки из 95 доступных символов). Он был примитивен и, если честно, мало чем отличался от шаловливых экспериментов на дедушкиной печатной машинке.


Праотец аски-арта в газете Daily Eagle, 1875
 
Оригинальным аски-артом считаются 7-битные рисунки из букв и цифр. Подвиды могли включать не-символьные блоки (характерно для 8-битного аски-арта на MS DOS) или состоять преимущественно из слэшей и горизонтальных чёрточек – этот стиль выделен в отдельное течение — Amiga style или попросту «олдскул», в противовес «ньюскулу» - пикчам с придававшими фактуру знаками $.
 

Вы когда-нибудь были единственным игроком на сервере? Если так, то вы поймете всю ту жуткость, которая приходит с игрой в одиночку. Именно это и передаёт игра "No Players Online". Старинный шутер от первого лица с кучей мёртвых серверов в режиме "захват флага" - казалось бы, что может пойти не так.

Итак, при загрузке игры вы услышите звук вставляемой в видеомагнитофон кассеты - да, описание гласит, что вы нашли грязную видеокассету, на обратной стороне которой написано "проект по захвату флага 20.03.1986". После чего вам будет предоставлено множество серверов на выбор. Выбрав доступный сервер, вы мгновенно погружаетесь в игру по сути без ничего, окромя атмосферных звуков неба, вашего пистолета и ваших собственных шагов. И вскоре после исследования карты вы узнаете, что играете в эту игру в одиночку. Захватив противоположный флаг и направившись назад, вы начнёте слышать стрёмную музыку вдали. Пойдя на звук, вы столкнётесь с его источником — старым проигрывателем. В этот момент у вас появится возможность остановить его, выстрелив, или же оставить его в покое и ничего не делать. В момент возвращения флага на свою базу вы заметите вдалеке парящий тёмный силуэт. Если вы пойдете и исследуете эту область, вы не найдете ничего кроме нескольких объектов, выглядящих как надгробные плиты. И с этого момента игра принимает мрачный оборот.

После возвращения флага на базу и захвату второго флага в нижней части экрана появится сообщение о том, что к серверу присоединился новый игрок. Ну да, столкнуться с подобным сообщением на абсолютно пустом заброшенном сервере старинной и на вид возможно разменявшей третий десяток игры. Так вот, когда вы осторожно вернётесь на другую сторону, вы увидите больше проблесков этой фигуры, но как только вы опустите флаг во второй раз, ваш персонаж перестанет отзываться на управление и замрёт. И если вы в этот момент повернетесь, вы увидите стремительно приближающуюся к вам тень и исчезающую в момент непосредственной близости. Если вы после этого решите продолжить игру и собрать последний флаг, то столкнетесь с тенью ещё раз. На сей раз вас встретит сообщение "позади тебя", прежде чем персонаж снова перестанет отзываться на управление, и вы будете вынуждены смотреть, как стремная нех снова приближается к вам, прежде чем снова исчезнуть.

В этот момент к серверу присоединится разработчик Джон в качестве зрителя и предупредит вас об опасности возвращения последнего флага. Затем он объяснит, что эта игра способна воскрешать мертвых, и теневая фигура, с которой вы столкнулись, на самом деле его умершая жена, которую он хочет воскресить. Кроме того, если вы ранее выстрелили в проигрыватель, он скажет, что вы уничтожили её любимую музыку. Также Джон предупреждает, что если вы вернёте флаг на пьедестал, серверы будут отключены, а душа его жены будет утеряна навсегда. Таким образом вы сталкиваетесь с непростым выбором: вы можете по просьбе Джона покинуть сервер или же вернуть флаг обратно на пьедестал и понести ответственность за последствия. Если вы решите вернуть его, Джон станет умолять вас прекратить то, что вы делаете, и вернуться обратно. Но если вы этого не сделаете, игра выйдет из строя и вернет вас обратно в меню сервера, где вы не найдете ничего, что осталось от игры.

Но если вы покинете сервер, не поставив флаг обратно, у вас будет ещё несколько вариантов: вы сможете выйти из игры или вернуться на другой сервер, где сможете сыграть ещё один раунд. При запуске нового сервера и во время последней встречи с "призраком" Джон спросит вас, почему вы вернулись - причём сразу же после этого сообщения Джон присоединится к игре в качестве игрока. Однако вы не увидите ни Джона, ни какого-либо другого игрока, но если вернетесь на кладбище, где впервые увидели его жену, вы обнаружите над надгробием парящий предмет - глаз, если быть точным. Словно смотрящий на вас. И если вы выстрелите в глаз, на экране внезапно появится видео, показывающее, как кто-то пытается сделать неоднозначное сообщение на листе бумаги, рисуя зигзагообразную кривую с клавишей "enter" на её конце. После этого момента вас вышвырнут из игры, и вы больше ничего не сможете сделать. Правда, если не введёте чит-код конами.

Думаю, стоит сказать подробнее о меню и его фишечках вроде вводимых команд. Если написать hideout, что переводится как убежище, можно набрести на библиотеку звуков. В одном из своих обновлений разработчик сказал, что добавил сохранения, и чтобы его активировать, нужно ввести код 25467, но если это сделать, то вы активируете скример (который, кстати, возможно и является криком жены). Однако ни одно сохранение работать не будет, и на то будет веская причина, о которой и пойдёт речь.

Однако есть несколько интересных вещей, которые я нашёл в игре и прочёл онлайн. Если вы обратите внимание на столбы, деревья и надгробия, как объекты, вы заметите, что они имеют тенденцию появляться и исчезать. Я не знаю, что это значит, но следующая информация может объяснить это. Несколько дней назад на страницу загрузки был загружен файл под названием "100% безопасный файл". Если вы откроете этот файл, вы найдете лишь кучу кода, но, к счастью для нас, пользователи в интернете провели небольшое расследование и нашли изображение. К слову, ни одно из сохранений не работало по той же причине: все файлы сохранения являлись одним и тем же изображением. На нём можно увидеть что-то, что выглядит как фонарный столб, но если посмотреть в нижний левый угол, можно смутно различить некоторые цифры. И если вы измените контрастность, вы увидите, что они показывают дату: 15 ноября 2019 года. Вполне возможно, что 15-го числа на все вопросы, касающиеся этой игры, будет дан ответ. А что, по-вашему, должно было произойти? И что произойдёт? Выпустит ли разработчик дополнительный контент для игры или вирус, заражающий всех, кто загрузил программу?

И как думаете, были ли даны 15 ноября ответы на вопросы? Ничего подобного. Зато, именно в эту дату выходит новое обновление игры, где Джон благодарит игроков за комментарии и снятые видео-прохождения по игре. В новом обновлении он добавляет мультиплеер и теперь игроки точно могут насладиться игрой в онлайне. Но как вы понимаете, это всё неправда: Джон добавляет совсем иные вещи в игру. В конце записи он оставляет электронный адрес. В ответ на сообщение о том, что сервера не работают, он отправляет письмо следующего содержания: "Из-за личных обид я ухожу в отпуск с 31 марта по 2 июня. С уважением. Джон Маллард". Интереснее всего то, что его сайт, который он указывает, не является активным. А если же перевернуть буквы в названии сайта, то можно получить фразу "untitled games", что переводится как неназванные игры. По второй ссылке мы переходим на сайт уже знакомой до жути нам картины. На нем хранится игра под названием EYE.exe. Вернёмся к ней позже.

А пока к меню. После скримера также появляется трудноразборчивая надпись, которая переводится как "столкновения со стеной 345 отключено". После чего вы должны открыть любой из серверов, дойти до центра карты и прыгнуть в яму с водой. После чего вы окажетесь в так называемой "комнате наблюдения", где также будет стоять установка с просьбой активировать код. Ну а чтобы его активировать, игрокам пришлось много повозиться, но они смогли найти ключ от этого замка.

Вы возможно не замечали, что количество выстрелов из пистолета кажется случайным. Но если посчитать каждый выстрел, то можно заметить закономерность, которая повторяет пистолет с перезарядками. Из этого получилось странная комбинация цифр, которая оказалась бельгийским номером (+32-4-684-175-49). Позвонив по этому номеру, вы сможете услышать сообщение с кодом морзе.

"Что-то пошло не так. Деревня Гайлен. Тихая спокойная. Одной рукой до ада". Расшифровкой кода морзе являлось сообщение "ключ - собака". И получилось так, что нужно было взять последние буквы из самых больших слов посланий и отнять от ключа "собака". Получался код: 19,14,21. После чего, вбив эти цифры, вы откроете капсулу (переноса души), войдя в которую, вы активируете последнюю игровую концовку. И после этой поэмы игра просто закроется, оставив подсказку, что нужно искать там, где "hound". Но об этом чутка попозже.

Давайте всё же разберём EYE.exe, в которой мы по всей видимости играем за Джона и выгуливаем свою собаку, которая, как несложно догадаться, убежала. Тут и тот самый фонарь, который мы могли видеть на картинке-тизере, кусты и заброшенные старые дома. Дойдя до пирса, звуки лаяниясобаки пропадают, и мы понимаем, что она утонула. После чего игра вновь закрывается, и на этом, собственно, всё. По всей видимости у Джона умирает не только жена, но и собака.

Он конечно не Уик, но в его комнате наблюдателя также есть скрытые послания и секреты. На этот раз вы увидите строчки из баллады Нэта Кинг Коула "Грустный и сентиментальный", в которых пропущено то самое слово "haunt". А теперь давайте к надписям на стенах, на которые мы не обратили внимание: "мне очень жаль, одной рукой до ада, позади тебя, гуляю с собакой, это не навсегда, Энуит Энуит", - а также куча отпечатков ладоней, которые писали всё это чернилами. Многие фразы отсылаются на прошлые игры и тизеры: например, Энуитом зовется компания Джона Малларда, которая создавала эту игру. "Гуляю с собакой" - отсылка на EYE.exe. "Одной рукой до ада" - эта фраза из телефонного послания.А остальные фразы из основной игры "No Players Online".

Казалось бы, что на этом всё, но в linux-версии была найдена дополнительная фраза на стене, при расшифровке которой получилось слово "bandcamp". После чего удалось найти bandcamp автора игры, где были довольно странные послания и осты к этой игре. В странных аудиозаписях нашлась одна, которая вообще не понятно что представляла. Если её перевести в спектрограмму, то можно получить изображение с каким-то лесом. Никто ничего не понял, но поиски также продолжались. Другое аудио содержало в себе сообщение, в котором говорилось: "Он продолжал писать цифры и буквы попеременно, я думаю, что он сошел с ума КОЛИЧЕСТВО. Он груб, называет меня трусливой ПИСЬМО. Я напугана КОЛИЧЕСТВО. Он говорит, что слышит ксилофон с другой комнаты ПИСЬМО. Плюс, сегодня он сказал КОЛИЧЕСТВО: x отмечает место ПИСЬМО". Выше приведенный код города, указанный в документе, за которым следует цифра, буква, цифра, буква плюс цифра, буква - полученные из числа слов и наиболее заметные буквы. Код привёл к координатам леса. И всё начало вставать на свои места.

На той спектрограмме оказалось то самое место с лесом, которое удалось найти по координатам. Спрятанный клад находился в Бельгии. Человек с ником "angryzor" приехал 140 километров ради того самого места - и не зря. Ему удалось найти поляну гнома, где находился аттракцион под названием "свет гнома". В дупле дерева он обнаружил завёрнутую в упаковку жестяную коробочку, в которой и томился заветный приз. На крышке виднелся тот самый глаз, символизирующий Джона. Открыв коробку, "angryzor" распаковал листочек, и там была надпись с посланием: "почему ты ищешь меня и заставляешь меня чувствовать себя грустным и сентиментальным? да сентиментальный?", - а также шифр, который переводился, как "спасибо за охоту".

Вот так собственно и закончилась история игры "No Players Online". Разработчик игры выразил всем "охотникам" спасибо, а также зрителям, которые следили за этим. Это была его первая ARG.

Скриншоты: https://vk.com/album-12846346_270250001

Записи геймплея:

https://vk.com/video-12846346_456239580

https://vk.com/video-12846346_456239581

https://vk.com/video-12846346_456239583

https://vk.com/video-12846346_456239582

https://habr.com/ru/post/412237/

1. написать на ассемблере программу, которая бы могла либо переименовать /tmp в /etc, либо создать /etc;
2. заассемблировать её на другом VAX, сделать uuencode;
3. записать её в в uu-закодированный файл, используя мой GNU, и сделать uudecode (какой-то умный человек догадался поместить uudecode в /usr/bin).

Остаётся запустить программу. Ещё одно чудо: терминал, который использовался для нанесения ущерба, всё ещё был суперпользовательским после su (достаточно вспомнить, что su находится в /bin), так что у нас хотя бы появился шанс, что всё это заработает.

И вот, мы уже стоим на очаровательном пути к успеху. Потратив всего час, мы состряпали примерно дюжину строчек на ассемблере для создания /etc. Обрезанный бинарный файл оказался длиной всего 76 байт, так что мы сконвертировали его в HEX (читается немного лучше, чем вывод uuencode), и записали, используя мой редактор. Если у вас вдруг когда-нибудь возникнет такая проблема, вот HEX на будущее:

070100002c000000000000000000000000

0000000000000000000000000000000000

dd8fff010000dd8f27000000fb02ef0700

0000fb01ef070000000000bc8f88000400

00bc012f65746300

У меня была подручная программа (а что, у кого-то не было?) для конвертирования ASCII HEX в двоичный код, и вывод /usr/bin/sum совпадал с нашим оригинальным бинарным файлом. Но стоп, секундочку — как же ты установишь права на выполнение без /bin/chmod? За несколько секунд сформированная мысль (которая, как обычно, завершает пару минут раздумий) принесла решение проблемы: нужно записать бинарный файл поверх уже существующего файла, для которого я являюсь владельцем. Вот и хорошо.

Мы вернулись к терминалу с правами суперпользователями, с осторожностью вспомнили поставить umask на 0 (чтобы я мог создавать внутри файлы, используя свой GNU), и запустили бинарный файл. Теперь у нас был /etc, с доступом на запись для всех. Теперь оставалось всего несколько шагов: нужно было создать passwd, hosts, services, protocols, (etc), после чего ftp был готов к работе. Потом мы восстановили содержимое /bin по сети (это невероятно, как тебе начинает жутко не хватать ls после всего нескольких коротких часов без него) и взяли файлы из /etc. Ключевым файлом был /etc/rrestore, с его помощью мы восстановили /dev с бэкап-кассеты. Тут и сказочке конец.

А вот теперь мы задаём себе вопрос, в чём же мораль этой истории. Ну, для начала, стоит хорошо запомнить вечные слова: не паниковать. Мы ведь сначала и хотели просто перезагрузить компьютер и попробовать всё как single-пользователь, но, к сожалению, система при загрузке не нашла бы /etc/init и /bin/sh. Здравое мышление спасло нас от таких действий.

Следующая вещь, которую стоит запомнить, это то, что утилиты UNIX могут использоваться с действительно нетипичными для них целями. Даже без моего gnuemacs мы бы могли выжить, используя, скажем, /usr/bin/grep как замену для /bin/cat.

И последняя вещь. Это невероятно, насколько громадную часть системы можно удалить, не загубив её окончательно. Несмотря на тот факт, что никто бы не смог войти в систему (/bin/login?), и почти все нужные команды пропали, всё остальное выглядело нормально. Естественно, некоторые вещи не могут оставаться живы без, скажем, /etc/termcap, /dev/kmem или /etc/utmp, но, в конечном итоге, всё работает в мире и согласии.

Я оставляю вопрос: оказавшись в такой же ситуации, с возможностью мыслить, учитывая приобретённый теперь опыт, можно было бы решить эту проблему проще?

1 часть: https://nag.ru/articles/article/31998/zolotaya-tsenzura-kitaya.html

2 часть: https://nag.ru/articles/article/32079/zolotaya-tsenzura-kitaya-chast-2.html

История

Только на первый взгляд кажется, что задача плагина элементарна — на самом деле, нужно было реализовывать кучу различных вариантов маскировки, заботиться, чтобы это работало с кэширующими плагинами, не конфликтовало с другими парсерами контента, любыми структурами пермалинков, каждой новой версией Wordpress, и так далее. Около 8 лет я поддерживал этот плагин, отвечал на баг репорты и порой отлаживал чужие сайты, доверчивые владельцы которых добровольно выдавали мне все пароли и явки.

В какой-то момент мне стало понятно, что свои задачи я плагином не решаю уже много лет, поддерживать его код мне неинтересно, а больше ничего от его разработки я не получаю. Для справки уточню, что в описании и на страничке настроек плагина были ненавязчивые ссылки и кнопки с предложением сделать добровольное пожертвование — но за всю историю плагина мне пришло в районе 40$. Так что денежной мотивации не было, мотивации к развитию тоже, да и как-то порядком надоело, что каждый пользователь почему-то считает, что ты ему обязан, раз он таки поставил твою программу или плагин (кажется, многие пользователи действительно считают, что как только они ставят программу, какой-то добрый облачный дух выдаёт её разработчику мешок денег).

Это я не к тому, что мир несправедлив, и я лил горькие слёзы обиды — просто чтобы было понятно, что несколько лет я поддерживал этот плагин исключительно из странного ощущения, что пользователи мне доверились, и я не могу их обмануть и прекратить поддержку. Когда я оглядываюсь на эти ощущения сейчас, то понимаю, что это было глупое ощущение, и нужно было спокойно похоронить плагин и заниматься своими делами. Но это ощущения меня из 2018 года — с появлением двух детей довольно сильно меняются приоритеты.
 

Продажа

И вот в какой-то момент пришёл некий гражданин, который мне предложил неплохую сумму денег за приобретение плагина. Честно говоря, я был уверен, что это какое-то кидалово, и общался с ним исключительно из любопытства (ну, как со всякими нигерийскими принцами). Скепсис ушёл, когда мы договорились использовать один доверенный сервис для подобного рода сделок. Тут уже стало интересно — было ощущение, что мне заплатят, но я подозревал, что в плагине быстро появится какая-то уязвимость, и поэтому специально подготовил письмо в команду поддержки wordpress, чтобы моментально заблокировать плагин. Но тому времени я уже почти поверил, что плагин действительно хотят приобрести для расширения портфолио компании, которая занимается SEO оптимизацией (именно такой мотивацией мне это объяснили).

И знаете, что произошло дальше? Дальше мне честно пришли перечисленные деньги, и через несколько дней в плагин пришло мажорное обновление, в котором полностью изменился интерфейс и была переработана кодовая база (но оставлена совместимость) — так что это больше стало похоже на код из 2017, а не 2010 года (над этим поработал разработчик, как минимум, Middle уровня). Я был страшно рад — я нашёл заинтересованных людей, которые будут поддерживать мою игрушку, и которые уже принесли в неё много хорошего, радуя пользователей плагина.

Тем не менее, я в течении двух недель отсматривал код плагина и его обновления, на всякий случай держа палец на отправке письма в команду wordpress. Но всё было отлично и я успокоился.

 

Уязвимость

Хотелось бы остановиться на этом месте и закончить это как success story, но увы. Через несколько месяцев со мной связались ребята из стороннего проекта по безопасности wordpress, и рассказали, что в плагине появился бекдор, и им интересны подробности того, как я передал права на него новому разработчику. Проверив, я убедился, что плагин действительно заблокирован на сайте wordpress. Дальше я переписывался с поддержкой wordpress, краткие результаты такие:

• Они приняли от меня всю информацию, которая может помочь в инциденте;
• Они очень долго не хотели рассказать мне информацию о уязвимости, и пришлось искать её самому;
• Моё желание помочь было осмеяно, и меня ругали всякими плохими словами за то, что я “продал плагин спамеру” и “нагрузил их работой” (дословные цитаты);
• Через некоторое время сотрудники wordpress таки сами исправили закладку и отослали мне на ревью (хоть один позитивный момент);
• Плагин так и останется заблокированным, и передавать обратно права на него они не будут.

Кстати, закладка оказалась отнюдь не злобным бекдором, а просто добавляла немного SEO ссылок ничего не подозревающим пользователям. Неприятно, но не так фатально, как могло бы быть.

По итогам общения:

• Было потрачено много времени для устранения уязвимости из-за нежелания сотрудничать со стороны техподдержки wordpress
• Wordpress навсегда потерял один из плагинов и разработчика, который больше не будет там ничего публиковать и обновлять. Вряд ли кто-то будет об этом сожалеть, но тем не менее.

UPD. По просьбам тех, у кого стоит плагин — «закладка» есть в версиях плагина 4.2.0 — 4.2.2. Версия 4.3 была исправлена поддержкой wordpress, версии до 4.0 были мои, а в версиях 4.0.0 — 4.1.0 «закладку» ещё не добавили. Скорее всего, ваш блог уже сам обновил плагин до безопасной версии 4.3.
 

Выводы

Для меня самыми интересным стали вопросы “продал бы я этот плагин, если бы знал, что его будут злонамеренно использовать?” и “сделаю ли я это снова, если будет возможность?”. С одной стороны — хотелось бы верить, что нет. С другой стороны — по сути у меня есть выбор между “хранить лояльность людям, которые даже не сказали спасибо за использование результатов моего труда” или “поехать с детьми в отпуск на море”. Ну… Не знаю. Искушение серьёзное.

Можно говорить о том, что здесь для меня есть какие-то репутационные риски, но… Я не являюсь какой-то компанией, которую можно опозорить по всему интернету. И я не являюсь иконой мира разработки, я всего лишь один из миллионов разработчиков, которые периодически что-то пишут в open source. И скажем честно — нельзя потерять репутацию, которой нет. Удивительно, что после продажи плагина хоть один ресурс связал с ним моё имя. Так что — никаких репутационных ирисок.

Отдельно замечу, что, в случае, когда риски касаются моей коммерческой деятельности, то здесь картинка совсем другая. На моей работе мне платят деньги, и у меня есть определённые обязательства. Неоднократно мне приходили различные предложения сомнительного характера, и я не принял ни одного — даже когда знал, что моё вмешательство или передачу данных никак не смогут отследить. Перед коммерческими проектами совершенно другая степень ответственности — и, как ни странно, не только потому, что мне там платят деньги, и потому что я там подписывал 100500 всяких бумажек. В первую очередь я чувствую ответственность потому что меня там ценят, доверяют, и это показывают. Поэтому я не могу предать оказываемое доверие. А, возвращаясь к open source… Тут картинка совсем другая. К примеру, помимо плагинов у меня есть ещё мобильные приложения. Они поддерживаются на нескольких ресурсах, в том числе на 4pda. И обычно пользователь (у меня их несколько тысяч) заходит туда, чтобы оставить сообщение вида “какашка не работает” (дословная цитата). Ну… Когда мне после этого приходит пулл реквест с обновлением бинарника из зависимостей приложения, то мне очень сложно не забить на него или не принять его вслепую, а вместо этого пересобрать его заново своими руками и выложить новый релиз.
 

Помните — никто вам ничего не должен!

Повторюсь — моя цель — не пожаловаться на то, как всё плохо, а просто напомнить вам, что в open source никто ничего никому не должен. И нужно заботиться о безопасности любых сторонних компонентов, которые вы используете. Начиная с физического сервера, где крутятся ваши проекты (если он у вас “по знакомству”, то возможно всякое), продолжая фронтовыми и бэковыми компонентами, плагинами, фреймворками, CMS и так далее. И все проблемы в мире не решаются “вводом данных карточки в iframe”, как предлагалось в одной недавней статье.
 

Что же делать

Что вы можете помимо того, что следить за своей безопасностью? Как минимум, вы можете более ответственно относиться к тому, что вы используете труд других разработчиков. Посмотрите, что вы сейчас активно используйте. Купите лицензию для сломанного ещё два года назад вебшторма. Оплатите хитро полученный шаблон, которые вы использовали в большом заказе. Настройте автоматическое списание в пользу разработчиков вебпака. Перестаньте уже в каждом посте PVS Studio писать о том, как вы героически удаляете комментарии из своего кода, чтобы использовать этот инструмент бесплатно. Пожертвуйте уже 5$ разработчику Android KeePass — он об этом просит только по большим праздникам.

Если нет денег — зайдите в issues и расскажите о проблеме, или отправьте свой пулл реквест. Вспомните ошибку, которая у вас возникает в экзотических условиях, повторите её и опишите разработчику. Сделайте пулл реквест из вашего форка, в котором вы исправили какой-то баг, и это исправление так и осталось только у вас.

Если у вас нет ни денег, ни возможности участвовать в разработке — просто зайдите и скажите «спасибо» разработчику. Этим, как известно, сыт не будешь — но даже это радует разработчика и порой является стимулом для продолжения работы. Удивительно, что в устном общении принято благодарить за то, что для тебя делают — но этого правило так редко применяется в open source разработке.

Кстати, эти правила относятся не только к разработке. Так же можно взять за правило — понравилась прочитанная с торрентов книга — купи её. Нравится музыка — поучаствуй в краудфанде нового альбома. Вроде бы это так просто, но мало кто это делает. Давайте помогать друг другу, и мир станет лучше. И безопаснее.

А касательно того, что вы можете сделать, будучи разработчиком — сразу думайте, как обеспечивать поддержку вашего проекта. Может быть, вы сможете придумать, как привлечь к этому других разработчиков. Или предлагать дополнительные услуги — например, поддержку и отладку за некую фиксированную цену, или Enterprise решения, основанные на вашем проекте. Например, если бы я брал хотя бы по 10$ за поддержку плагина на сайтах пользователей, то, возможно, у меня был бы неплохой доход, который позволил бы не продавать плагин и дальше заниматься его разработкой. Многие считают монетизацию проекта чем-то плохим и изначально дурнопахнущим, но конце концов только она позволяет посвящать проекту достаточно много времени и заботиться о его качестве.

Источник: https://habr.com/post/348142/