又一个自建CDN工具 GoEdge 出现“官方”投毒现象
从超哥(其开发者)写出 GoEdge 至今,版本更迭到 v1.3.9 。这套 CDN 系统被许多 CDN 商家采用,毕竟它开源又免费,却在今年 4 月被请去喝茶后,goedge[.]cn 便重定向至 goedge[.]cloud ,而 goedge[.]cn 的备案号被注销、转出,甚至 whois 主体发生变化。
而超哥在 QQ 群的最后消息为 2024 年5月20日。之后5月24日发布的包中则带有上文提到的 cdn[.]jsdelivr[.]vip 的内容于节点( edge-node )的二进制文件中,一直到今日发版的 v1.4.1 。查了一下 cdn[.]jsdelivr[.]vip 的 cname 指向,猜测和方能那伙人是同一伙。可以说 js 代码跳 h 站就是这群人干的。
有群友发现 GoEdge v1.3.9 的编译环境为 go1.21.10 ,与目前最新版的环境不同。故引发大家对 GoEdge 被出售的猜测。而超哥用于销售商业版的淘宝店铺关闭,转而要客户前往 Telegram 进行购买。据群友所描述,客服态度怠慢。
有群友进行二进制分析,发现 edge-node v1.4.1 版本二进制文件中存在上述恶意代码。但 GoEdge 客服在其 Telegram 群中表示“不信谣不传谣”后开始踢人。随后对 v1.4.1 重新编译,发布了无毒版本的 GoEdge v1.4.1。由于许多人在使用该产品的时候,时不时跳 h 站。若您是 2024 年 5 月 24 日之后安装的 v1.3.9 (或更高版本),请立即更新。虽然刚刚官方发了 v1.4.1 的修正版本,一旦信任崩塌就难以重建。
· 扩展阅读:探寻 Staticfile、BootCDN、Polyfill 投毒背后的始作俑者
—— V2EX Nyarime