这是巨硬收购 github.com 后第一件移除利益相关 repo 或账号的行动吗

[redsonic]

https://www.bleepingcomputer.com/news/security/windows-zero-day-poc-lets-you-read-any-file-with-system-level-access/

一位安全员发现了 MS 的 0day 漏洞，无视权限设置可读取任意权限用户的文件。未事先告知 MS 就把 poc 代码放在了 github 上，不久账号就被封，repo 被移除。既然 github 已属于 MS，MS 这样做无可厚非，但这给很多开发者警示如果不懂法律或规矩公开了一些代码则账号可能直接被封。

[d5]

这……

[ronman]

这种事应该没问题吧？

[trait]

@ronman 最多移除 repo 封号未免太猖狂了吧

[Phariel]

github.com not .org

[gamexg]

@trait +1
移除仓库正常，封号就不正常了。

[dototototo]

想知道懂法律或者规矩的开发者对于该事的看法。是 MS 做过头了还是安全员做过头了呢，双方是否会有法律方面的问题呢。🤔

[leavic]

就算 github 不是微软的，微软如果提出要求，github 应该也会删掉这个 repo，这样在没有搞定 patch 之前就直接放 exploit 的做法本来就不是合格的白帽子做法。

[alfchin]

@gamexg 违反 EULA 是可以直接终止提供服务的

[GDC]

微软这么做肯定考虑过法律问题啦，那么大的公司，多少人盯着呢

[rekulas]

感觉你(可能 /也许 /maybe)误会 ms 了，这种行为应该属于泄露危险代码或泄露包含 crack 风险的代码，github 这几年来一直勤勤勉勉、孜孜不倦地与这类库做斗争(就是删库封号)，虽然可以发邮件申诉但貌似胜率不高据说，很多人就因为无意中 fork 了别人的某个项目就被封了辛辛苦苦多年的账号。。。

[tanpengsccd]

@rekulas 比如荒野无灯

[vanishcode]

@tanpengsccd 恩山灯大？

[xiadong1994]

肯定是用户协议允许的啦，不然肯定要吃官司的

[ryd994]

1.这样做违法 eula 本就会被封号。你既然知道是 0day 还随便公开，是何居心？如果不公开的话，储存在自己私有 repo 里，又是何居心？ GitHub 封号不过分
2.微软前不久才完成书面上的并购，并未插手 GitHub 的运营。不排除 GitHub 想拍马屁
3.微软又不是**佳缘，为什么不通过正规途径报告 0 day ？如果你不相信微软或微软不回应或涉及多厂家，你可以报告给相对中立的 cve ？ https://cve.mitre.org/cve/identifiers/index.html

[ryd994]

”但这给很多开发者警示如果不懂法律或规矩公开了一些代码则账号可能直接被封“
一直如此。何止是被封，故意传播漏洞甚至有法律责任。

[deepdark]

讲真 MS 没告他都已经谢天谢地了，删 repo 封号算什么。这种不沟通直接放 0day 的 exp 的人要承担法律责任的

[Akkuman]

事情的经过是这样，一名挖洞人不知道怎么和微软杠上了，好像是微软的什么处理让他不开心了，然后这个任意读文件已经是他一个月(还是几个月记不清了)内放出的第四个洞了，都是给微软直接公开，还说微软就是坨屎，微软和他有什么矛盾暂且不论，就这个 github 删 repo 封号这事，我觉得是没毛病的。

[yksoft1]

话说 M$这么多年这么多库，应该像这次这个 MsiAdvertiseProduct 之类没有做检查的函数多了吧

[reself]

@Akkuman 哈哈，炫技一时爽，闷声发大财多好。

[hakono]

@Akkuman 哎，掌握这么多 0day 漏洞的人，直接以高价在黑市上出售多好