关于琉璃社区与墨轩竹两个站点的用户安全隐私警告

原作者： K5 ｜ 文章所列风险内容已被证实存在

琉璃社区的问题：

• 琉璃社区存在用户任意登录漏洞。通过非常简单的手段，可直接登录该站点内的任意账户，包括前台管理员账号及后台站点管理板。

• 琉璃社区在与后台服务器进行API通信时暴露所有用户的IP地址。通过暴露的IP地址，可以对用户本人进行 1km 范围内的定位；若用户使用的是公司、校园宽带，定位精度可达 30 m。若连续监控指定用户的IP地址情况，则有机会实现精准定位。

• 可以通过半公开的API直接下载站点的配置文件，其中包含站点的所有相关配置，以及数据库账户与密码。

墨轩竹社区的问题：

• 墨轩竹社区存在重大个人隐私漏洞，任何人在无需登录、无需任何验证的情况下即可查看所有用户的一对一私聊信息。

总结

以上所有数据的获得，都不涉及侵入站点服务器，仅仅利用了站点框架的系统性设计问题，及管理员对用户隐私数据的疏忽不在意。任何有基本网络常识的人都可以借助这些漏洞直接进入「琉璃社区」与「墨轩竹」两个站点获取用户隐私数据，乃至完全操控「琉璃社区」。

出现这些问题有两个原因：站点框架非常低级，没有完善的站点保护思路与机制；管理员毫无安全意识，严重缺乏站点运维经验，随意拿来一个看似合适的框架，在未进行完善的漏洞测试与系统考察的情况下，便投入使用，全然不顾虑自己站点用户的隐私数据是否会被人获取。

1. 关于站点框架的问题，我甚至怀疑是框架作者的钓鱼行为，把有严重设计缺陷的框架授权给没有技术能力的站长，然后批量获取站点用户信息；即便框架作者没有恶意，但互联网并不是安全的地方，这样的站点即便对于自动扫描程序也没有丝毫抵抗能力。

2. 至于管理员的安全意识，则从来不能奢望，圈内大部分站点是彻底的草台班子，甚至在被明确被告知站点有安全问题时，也不考虑为了用户的安全做哪怕一点努力，这已经不是技术问题，而是站长对待用户的态度甚至人品问题了。

在互联网上，作为用户是很幸福的，但作为管理员则需要承担很大的责任，付出许多辛劳与成本。大部分SP圈子参与者并不希望看到自己的隐私泄漏，并且很多人会使用通用密码登录多个网站，用户数据一旦泄漏，是无法挽回的。电子数据复制备份极为容易，且副本和原件带来的不良影响没有区别，因此数据一旦产生，就没有可靠的方式确认它已经被删除。

对于这些危险站点的用户，甚至销号都未必是有价值的行为，反而会引起注意。在已经泄漏的数据中，藏叶于林不再活跃，弃用已有账号，重开人设或者直接退圈，这是唯一可以减少损失的方式。

此外，一个可笑的事实是，这些站点即使提供了销号的选项也大多需要站长审批，并且不会在服务器删除你已经上传的图像或其他个人数据；大多数站点连你自己发过的帖子都不会帮你清除。

我们在避难所上和这些站点的管理员有过交流，但两位站长都表现出了共同的、可以预测的恶劣态度，如同所有无知无畏的人一样，继续在谈话中展现出更多的糟糕特质，不能指望这些站点有任何改进。

确实，这些站长也是受害者，这种问题显然是因为他们没有找到合适的技术团队，要说不负责任，直接操作者当然是敷衍了事的技术人员。

然而这些都是表征，源头还是站长的问题。

技术团队是站长选的，这些站长大部分不具备开设和运营站点的能力，心里只想着把建立一个圈内站点作为创业项目，以此获利，对于建站过程中可能使用的技术一无所知（比如这次遇到某位站长连IP地址和用户地理位置的关联都不知道），也没有充足的资金去支持他们选择成熟的开发者团队，更不具备管理和沟通的经验，人际交往方式也倾向于制造敌人：你把问题告诉他，他不仅看不懂，而且会否认和指责，连最基本的判断善意和恶意的能力都没有。

那么这些站点的命运通常是这样的：他们对于投入的预算、时间精力，乃至人脉资源，全无评估和限制，往往一开始就没有选好技术团队，继而采取添油战术，遇到问题则敷衍搪塞，从不真正解决，这种运营策略会积累大量的隐患，最终导致雪崩式的结果。

关站对于这类站点和站长来说是最好的结果了，商业化运营是是致命的。收款行为会快速积累法律风险，即便是圈内一些运营相当成熟的站点，例如曼陀庄园、痛快天空，在商业化运作时都出现严重问题，站长因此获罪入狱。相关资料可以参考谷地关站笔记

至于上面说的所有这些站点，在运营过程中对普通用户造成了怎样的伤害，那就无法预估和评价了。实际上在站点中所有的行为，对于站长来说都是透明的，即便信任站长，但很多时候因为站点的技术团队能力不合格，站长的意识和人品有问题，这些用户数据对于灰产和黑产从业人员来说，也是完全透明的。

对于这些不靠谱站点的站长，我没有什么意见可以给，他们咎由自取；但对于普通用户，我的建议是，如果你不确定一个站点是安全的，那么请不要在站点中留下任何个人信息，包括在“私信”中：私信其实一点都不私密，它甚至可以被所有人「直接看到」的，不用刻意破解就会被明文转发给第三方。

此外，应该针对每个站点使用特别的密码，很多浏览器提供密码生成功能，iOS/安卓也提供系统级密码管理，现在做到一站一密码是很容易的。这样做是为了应对站点明文存储用户密码的迷惑行为。

我们的避难所使用 Blogspot 和 Discord 提供的服务，无法搜集任何用户信息，可以放心使用。在圈内的十几年中，我们看过许多站点的兴起与衰弱，甚至坠入深渊，因此在任何时候都不会接触用户数据，但也请大家管理好自己的信息，不要在互联网上公开。

避难所的地址是：https://404sanctuary.blogspot.com，包含加入 discord 聊天群的方式，欢迎大家。

以下是K5的附言：

应当对任何站长「祛魅」。互联网与AI技术在快速发展，与十年前相比，个人建立站点的门槛与费用都显著降低。跟随各种教程建立一个站点很容易，或许不到半天就可以解决，但也因此导致绝大部分站长都缺乏基本的计算机及互联网基础知识、运维及用户数据保护的经验、对系统设计及架构漏洞的敏感性。绝大多数站长在建立并维护站点的过程中，所做最多的工作是登录网页管理后台，用鼠标点点点，删除帖子，禁言用户，修改板块规则。「站长」与我们所有人一样，都是站点的用户，只是具有更高权限罢了。

并非每个朋友都有精力或能力去判断一个站点是否可靠，如下或许有几条可以参考的规则，它们在一定程度上可以帮助你了解站长的想法：

• 永远不要选择在站点还未完善时就已经开通支付渠道的站点。这常常意味着站长建站的首要任务是「获取收益」，而非为大家提供一个交流平台。俗话说：「掉钱眼里了」。小圈本就与性爱相关联，再继续掺杂如此「纯粹」的金钱关系，这个站点似乎已经没有了未来。开通支付渠道、设立会员制度等等应当是站点稳定下来后才能考虑的事情。

• 永远不要选择需要实名认证的站点。「君子不立危墙之下」，在任何情况下都不可以把自己的隐私信息交给小圈内的站点。你不可以假定站长会对你的数据负责；并且你没有任何手段可以确定站长没有售卖你的个人信息。

• 远离搞个人崇拜及超管账号过分活跃的站点。一个和谐的社区应当由用户广泛且自由地参与，而不是站长或管理员在其中「凸显存在感」。我认为合理的实践方案是，站长/管理员账号应当仅用于站点管理及通告，在参与站点交流/讨论时，应当使用与站长/管理员账号完全不关联的小号/马甲。

作为小圈站点的用户，你还有一点需要注意：

• 永远不要在小圈站点的私聊里谈论有关自己的隐私信息。站长及管理员可以直接看到你的私聊信息，而部分站点（如墨轩竹）里，任何人都可以无需验证地查看你与别人的聊天信息。若遇到了感兴趣的人，不妨互相分享一下QQ/微信名片。反直觉地讲，QQ和微信对你的私聊信息几乎不会关注，会比圈内的各个站点要安全无数倍。

若你没有相关经验，但希望建立一个属于自己的小圈站点，综合技术与法律风险，有如下建议：

最直接的建议是不要去做。

若你可以接受建立站点带来的技术与法律风险，那么：

• 你必须花费漫长的时间，来选择一个合适的站点框架。这直接决定了你的站点是否可以长时间稳定运行。站点运行起来后，无数据损失地进行框架更换是一个几乎不可能的事情。关于这点，我的建议是：不要使用任何个人发布的闭源框架，否则出了问题死都不知道怎么死的。或许你需要找一个可靠的人为自己提出相关建议。

• 选择一个海外的VPS主机平台。就目前而言，不要在国内做任何与小圈相关的事情。

• 在国外的域名提供商处租用一个域名，注意隐藏自身信息。不要使用 .cn 的任何域名。

• 动手建立站点之前，请务必去学习有关计算机网络及所使用的网站套件（如Linux、Nginx、Mysql、PHP/Java）的相关知识。请务必保证自己可以看得懂报错信息。

• 建立站点吧。注意保护好自己，也保护好你的追随者。