宝塔窃取用户隐私

Written by

趣记博客

in

原来国产软件都是一个德行，狗都不用的宝塔你还在用吗？这只是已知的数据采集上传，未知的还有多少呢？宝塔控制面板，狗都不用！

宝塔连夜更新到新版本

截止到我发这篇文字为止，宝塔并没有就此事做出任何解释和道歉！

常识：服务商不收集信息犯法
https://www.bt.cn/new/agreement_privacy.html

宝塔上传地址

所有操作均会记录并上传宝塔服务器（文件的修改、上传、宝塔面板登录、安装软件等任何操作），为防止被BT杀鸡儆猴，这里做打码处理。
实在没想到啊，除了宝塔，连给老外用的国际版aapanel也做了手脚。

保存的日志文件

日志文件内容（任何操作都会记录）

国际版的证据

https://github.com/aaPanel/aaPanel/blob/d2a66661dbd66948cce5a074214257550aec91ee/class/acme_v2.py#L438
https://github.com/aaPanel/aaPanel/blob/d2a66661dbd66948cce5a074214257550aec91ee/class/public.py#L2712

路径：/www/server/panel/class/ajax.py

data = {}
                data['ds'] = ''#self.get_other_info()
                data['sites'] = str(public.M('sites').count())
                data['ftps'] = str(public.M('ftps').count())
                data['databases'] = str(public.M('databases').count())
                data['system'] = panelsys.GetSystemVersion() + '|' + str(mem.total / 1024 / 1024) + 'MB|' + str(public.getCpuType()) + '*' + str(psutil.cpu_count()) + '|' + str(public.get_webserver()) + '|' +session['version']
                data['system'] += '||'+self.GetInstalleds(mplugin.getPluginList(None))
                data['logs'] = logs
                data['client'] = request.headers.get('User-Agent')
                data['oem'] = ''
                data['intrusion'] = 0
                data['uid'] = self.get_uid()
                #msg = public.getMsg('PANEL_UPDATE_MSG');
                data['o'] = public.get_oem_name()
                sUrl = '{}/api/panel/updateLinuxEn'.format(self.__official_url)
                updateInfo = json.loads(public.httpPost(sUrl,data))

更多详情查看另外一个博主的文章

https://blog.kieng.cn/2950.html

就分享到这里，宝塔博主不建议你再使用了，因为狗改不了吃屎！

标签：

评论

More posts