B站程式設計師利用許可權惡意植入XSS攻擊指令碼，“封殺”使用者賬號洩私憤；公司回應：涉事員工已被開除

OSCHINA

↑點選藍字關注我們

近日有網友在 B 站發表影片稱，B 站某員工利用自己的職權擅自在整個嗶哩嗶哩網頁版中載入惡意程式碼，被攻擊的特定使用者在點選任何影片後頁面都會被替換為空白頁面，並不斷彈出紅色文字“你的賬號已被封禁”。

事實上，這名員工並沒有直接封停用戶賬號的許可權，而使用者賬號本身也沒有被封禁，上面的提示只是純前端實現的效果。

以上情況只會在 Web 端進行復現。

攻擊原理為此“員工”利用自己許可權推送程式碼，在頁面跨域加入自己私人站點的 js 指令碼。所有使用 Web 端使用者都會載入這個程式碼，而攻擊者讀取使用者資訊對指定使用者進行攻擊。

第二百八十六條【破壞計算機資訊系統罪（刑法第 286 條）】違反國家規定，對計算機資訊系統功能進行刪除、修改、增加、干擾，造成計算機資訊系統不能正常執行，後果嚴重的，處五年以下有期徒刑或者拘役；後果特別嚴重的，處五年以上有期徒刑。

公開訊息顯示，這名員工主要負責嗶哩嗶哩網頁端 DanmakuX 彈幕引擎的開發和最佳化，而引入這段惡意程式碼的原因僅僅只是為了攻擊特定網友，據稱該員工與其他 B 站網友在站內對噴後心生怨恨，於是利用自己的許可權載入這段惡意程式碼。

網上流傳的截圖顯示，這名 B 站員工載入的惡意程式碼透過 hxxps://www.jakobzhao.online/main.js 引入，據藍點網檢查該域名後發現，其註冊時間是 1 月 13 日且當前處於無 DNS 解析狀態。

而網友釋出的影片最早是 1 月 12 日，也就是這名 B 站員工發起攻擊的時間應該要更早，所以是否還使用其他域名進行攻擊目前還不清楚，但其本人的個人部落格地址 hxxps://niyuancheng.top/ 目前也同樣處於 DNS 無解析狀態，此前是可以正常訪問的，這兩件事應該也存在直接關聯。

此外，該名員工疑有「開盒」「人肉」使用者的情況。

一名受影響的 B 站 UP 主表示，該員工名為倪某，疑負責 B 站影片播放器，是 B 站持有專利「影片播放方法、裝置、計算機裝置及儲存介質」的發明人之一。

此前，倪某在社交平臺看到某 UP 主的觀點不滿，雙方發生口角。

隨後倪某表示知道該 UP 主家庭地址、寬頻服務商等資訊；並利用系統漏洞，讓 UP 主點選 B 站影片時顯示「你的賬號已被封禁！！！」。

相關報道稱，B 站客服表示網站漏洞已經被修補，涉事員工也已公示處罰。

經調查，該員工因與使用者在網路上的口角糾紛，利用職務之便對使用者進行惡意報復，性質極為惡劣。

目前，B 站已確認問題併成立內部小組進行處理，涉事員工已被開除。

同時，B 站已移除相關惡意程式碼，並建議使用者清除瀏覽器快取和 Cookies，以防止再次受到影響。

網上流傳的資訊顯示，這名 B 站員工透過簡訊進行了道歉。

此次 B 站內部員工“投毒程式碼事件”引發了輿論的軒然大波。

在知乎平臺上，一條“如何看待 2025 年 1 月 B 站員工人肉使用者並刪除使用者影片事件?”貼子下方，ID 名為 Nauitas 的知乎使用者回覆稱：

“人肉不人肉根本不是重點，重點是這麼大一個上市公司，一個 00 後剛入職沒多久的就有隨便修改生產環境程式碼的許可權，甚至可以說是生產環境裡最重要的跟使用者直接互動的前端介面程式碼。這次搞的太過分抓到了，那之前搞的不過分的呢？他們所有的軟體程式碼裡到底埋了多少雷？有多少暗中搞事情的後門？

強烈建議所有使用者從現在開始立刻停用賬戶，停用 App，提取出所有餘額，直接預設自己 B 站賬號所有個人資訊，歷史記錄，聊天記錄，甚至裝過 B 站 App 的手機內所有資料都早就已經全部洩露，來進行進一步應對以減少損失。”

還有人認為，B 站的內部管理可能有問題，可能沒有程式碼審查或程式碼審查比較寬鬆，導致惡意程式碼可以被輕易地推送到正式環境。

“如果前端被植入程式碼的話，攻擊者理論上是可以代替使用者操作的。包括但不限於代替使用者釋出評論彈幕、刪除使用者收藏等任何內容、檢視使用者未刪除的歷史記錄。如果是客戶端，甚至可以偷偷盜取使用者資料。（Windows 這種許可權控制機制和沙盒機制幾乎沒有的作業系統特別危險。）

看來軟體還得是開源的才好。然而網頁版……”

最後回顧一下 B 站“冥場面”：

嗶哩嗶哩（B站）剛剛又崩了

B站：沒有在Web端強制開啟HEVC播放

GitHub公開B站寄來的DMCA刪除通知

相關來源

https://www.bilibili.com/video/av113814099992495/

https://web.archive.org/web/20250115095222/https://niyuancheng.top/

https://www.zhihu.com/question/9842359834/answer/81829950220

https://mp.weixin.qq.com/s/aHQXlDxHezvkXRZ-hZgCbA

END

熱門文章

效果媲美Cursor的開源替代：Roo-Cline