垃圾网易，开发 iOS 还用黑苹果？ Xcode 还在百度上去下载？

[lisonfan]

关于最近非官方渠道下载的 Xcode 编译出来的 app 被注入了第三方的代码问题分析 ： http://drops.wooyun.org/news/8864

网易云音乐也被注入了！
文明语言的网易，用了这么久，哎。
以后都不敢用网易的东西了，太不严谨了。
三石还是去卖你的猪吧

防止文章被删，我截图做个保存吧

事情大条了，

根据热心网友举报，投毒者网名为” coderfun ”。他在各种 iOS 开发者论坛或者 weibo 后留言引诱 iOS 开发者下载有毒版本的 Xcode 。并且中毒的版本不止 Xcode 6.4 ，还有 6.1 ， 6.2 和 6.3 等等。

关于”？“的梗，如果给我一次编辑的机会，我会改成：我在微博上看到别人说网易用黑苹果，我就是质疑一下，有必要骂人吗？

感谢 @5up3r 提供的 XcodeGhost 感染的 App 列表
https://github.com/zengyun-programmer/XcodeGhostApps/blob/master/XcodeGhost%20Apps.md

[Ryekee]

开发太不靠谱了

[lisonfan]

@Ryekee 刚刚删除了网易全家 APP ，再也不敢用了。

[freewarcraft]

是不是 iOS 和 mac 版都存在这个问题？

[jimrok]

应该是 build 服务器没有买 mac mini ，用的虚拟化做的黑苹果。

[yangjie6020]

我擦。。。。

[lisonfan]

@freewarcraft 那篇文章就分析了 iOS 版的，但是也不敢用网易的产品了，公司太不严谨了，自查都没有

[bhqt]

网易还有个应用是网易有钱。。难道。。估计。。

[bullettrain1433]

@lisonfan 好吧，我也都删了

[loading]

怎么没人怪苹果审核呢？

[chalio]

我屮艸芔茻，立刻卸载

[jukka]

看看网易怎么来做这个危机公关了。

[StargazerWikiv]

@lisonfan 删了。。。 mac 上面的删不删好呢？感觉也是黑苹果开发的。

[kxxoling]

黑苹果就不能用 App Store 了吗？白苹果也可能用迅雷或者百度先离线下来啊，直接从苹果的服务器上下载速度可怜。
这个帖子基本上已经是全文转载了吧？ @livid

[SquirrelMAN]

怎么过的苹果审核

[wj2061]

@loading 审核不是审核病毒的～

[falcon05]

没想到网易这么穷的

[huangweihua]

也没必要诛人家全家，我作为一名 iOS 开发者，会有很多情况让我们从其他途径安装 xcode 。比如墙。。。或者下载缓慢，多次下载失败等等。

[lisonfan]

@StargazerWikiv 我是不敢用网易家的了

[lisonfan]

@huangweihua 不敢用了..

[lisonfan]

@kxxoling 我本意是做个留存 0.0..@livid

[CommandZi]

那问题来，网易云音乐 2.8.3 使用中，我需要修改 apple id 密码吗？

[lisonfan]

@huangweihua 鄙人目前也在学习 iOS 开发，昨天在 MAS 上更新 7 ，能跑满我这的带宽呀

[shiny]

@huangweihua 网易没墙

[xdeng]

@SquirrelMAN
@loading 这又不是病毒 只是统计而已 苹果怎么猜得出谁干的

[vpslover]

还好不经常沾网易

[bk201]

你怎么知道不是网易内部某人干的(脑洞大

[zerh925]

这尼玛

[semicircle21]

这是下载渠道的问题, 关黑苹果什么事, 就是用垃圾桶也可能因为从迅雷下载 xcode 中招啊.

[vmebeh]

根本原因还是兲朝离地球太远，网络不好

[youxiachai]

对了,我也吐槽.更黑苹果没啥关系............xcode 下载.可能网易的网络也很慢....

[Wangxf]

居然还有人下载软件从第三方渠道？

[hahasong]

网易新闻挂马没，平时都只听虾米音乐

[JohnSmith]

mac 版不知道有没有事，网易的歌单挺合我意的

[liuzhedash]

如果用了这个版本的网易云音乐 会有什么可能的风险？

[243205964]

@loading 苹果是不会有错的，错的只能是开发商或者用户。

[orvice]

据说还有很多 app 也中了
https://twitter.com/aveline_swan/status/644752793656365056

[mailworks]

黑苹果也能从 AppStore 下载应用甚至更新 MacOS 系统

[mofet]

我觉得挺奇怪的，第一次运行 Xcode 的时候，不是会有一个联网验证 Xcode 的过程吗？应该是直接向苹果校验吧，为什么在那一步无法报错。

[mailworks]

从第三方下载的原因绝大多数是官网下载慢

[zonghua]

你这样对别的软件进行逆向工程可以吗？

[hging]

哦. 12306 也被植入了. 中信也植入了. 滴滴打车也植入了 楼主你什么心态这么喷网易?

[clowwindy]

要不是苹果的 CDN 那么不靠谱，也不会有那么多国内开发者用迅雷下 Xcode 。

[hylddd]

@youxiachai 最后一句很对

[Jermic]

然而不要无脑喷。谁说一定是黑苹果，苹果就不能安第三方下的 XCODE 了么。为了提前体验一下 xcode7 或者说提早 兼容一下新的特性，开发者有错也不在此， LZ 也是脑残

[lisonfan]

@hging 这些软件是我发帖后才被发现的。。
但是 V2EX 又不能改标题，我也没办法啊。。。
其他受感染的 APP 我也 APPEND 了

[StargazerWikiv]

还好我一直用官网下的。。。

[lisonfan]

@Jermic 我说了一定是黑苹果？你瞎没看见我打的”？“号？

[wbolor]

挨个抓了下包，豆瓣阅读好像也中招了。。。。。

[solupro]

正在用迅雷下载
http://adcdownload.apple.com/Developer_Tools/Xcode_7/Xcode_7.dmg
稍后下完补发 sha1 对比

[yh7gdiaYW]

@jimrok 网易就没给配真 mac
目测国内中招的妥妥的开发用的黑苹果

[cztchoice]

@yh7gdiaYW 。。我用正版苹果，也经常从网上其他地方下，苹果官网速度实在不能忍

[likuku]

@cztchoice 家用 50M 电信光纤， appStore 直接更新 xcode7 ，几乎能跑到 20-30M ，真不知道你们用的什么网络能这么差?

[inFinityzc]

难道不应该谴责病毒作者么，而且出问题的也不止网易一个公司的应用。网易固然需要对自身开发的问题进行反省，但是楼主这么针对网易莫非是跟网易有什么过节。。

（顺便一提，个人是网易某游戏玩家，对于楼主骂 30 的话，只能说，骂得好~）

[qun1me1de]

[楼主标题：垃圾网易，开发 iOS 还用黑苹果？ Xcode 还在百度上去下载？]

[Jermic 2 分钟前
然而不要无脑喷。谁说一定是黑苹果，苹果就不能安第三方下的 XCODE 了么。为了提前体验一下 xcode7 或者说提早 兼容一下新的特性，开发者有错也不在此， LZ 也是脑残]

[lisonfan 几秒前
@Jermic 我说了一定是黑苹果？你瞎没看见我打的”？“号？]

[楼下：垃圾帖，楼主脑残？楼主今天吃药了吗？]

[楼主：****]

[楼下：我说了一定是楼主脑残？你瞎没看见我打的“？”号？]

[MajestySolor]

大开眼界。。。

[lisonfan]

@inFinityzc 后来又公布了其他的 APP 的时候，其实我是想重新编辑内容的了...
但是 V2EX 你知道的，不能编辑。所以楼主我也没办法啊...

[coolicer]

尼玛了

[MerenguesGeek]

51 卡保险箱中招

[cYcoco]

基本跪了啊 很多都中了

[dalianmao]

@qun1me1de 好比喻，赞，哈哈哈

[lingaoyi]

进来学习了。

[Geoion]

中招了还有谁？

[chloerei]

[lisonfan]

@Geoion 现在应该挺多人在测试吧，稍后应该会公布出名单来

[wind3110991]

那么大个网易，就算除去网易游戏，其他部门程序员年薪基本也不会低， ios 开发部门基本怎么可能开发不用 Mac ？

口说无凭，黑苹果？我同学在网易游戏，公司开发标配统一高配 27 寸 iMac ，其他部门最少也是 Mini 高配；

我想问楼上你们谁是网易的能站出来说句话吗，网易校招，技术的条件最低都是全 985 高校。看了帖子，然后就跟着把网易的 app 全删了，网易偷你钱了？

这个结果最有可能的情况就是，在大公司里， Xcode 的镜像作为内部软件被统一配置到了公司 tfs 里，并不是通过外网 mac store 下载，大公司开发机不能上外网这是常识，插 usb 拷贝，公司为了防止外泄资料也不允许，所以是在统一的 tfs 中下载；

最后想说句：云音乐在中国算是比较好的应用了，要是网易都不靠谱，其他小互联网公司都别活了。你们可以瞧不起网易的产品，但是要尊重人家的文化。

[learnshare]

如何发现是黑苹果的？

[inFinityzc]

@lisonfan 求楼主补充其他中招 App

[lisonfan]

@inFinityzc APPEND 了最新公布出来的，楼主也在等消息

[lisonfan]

@learnshare 也是看别人说的....所以用了问号质疑

[sox]

所以这和黑苹果有半毛钱关系？

[jkjoke]

http://www.swiftmi.com/topic/259.html

投毒者公然发布感染版本的 XCODE 下载

[lisonfan]

@wind3110991 出这个事之前，我一直到在用网易新闻和网易云音乐。
不过这件事一出，让我觉得网易这家公司做事太不严谨了吧？
他们在推向公众之前都不自查的吗？

[lisonfan]

@sox 楼主也是看别人说的。。。所以质疑了一下。。。我的锅...

[lisonfan]

@jkjoke 这个投毒者消息也快啊，东西全删了

[plqws]

安卓党表示无压力，顺便开个地图炮，在这件事里黑网易的要么没做过移动开发，要么就是精虫上脑为了黑而黑

[beimenjun]

@wind3110991 少年，善用搜索。

2013
https://www.v2ex.com/t/65183

2015
https://www.v2ex.com/t/213778

[learnshare]

@lisonfan 问号的位置不能很好的表明语气

[qun1me1de]

@wind3110991

网易还没有发布结果，我也觉得没必要这么扣帽子。
再说了 楼主说网易一定是黑苹果了？你是不是瞎？
真对不起。。。。我说话不耐听了，但是我用问号了！ 你拿我怎样？

灵感源自楼主 47 楼原话：[我说了一定是黑苹果？你瞎没看见我打的”？“号？]

[kenzi]

我比较想知道,都偷跑了点啥资料......不是有访问联系人啥的,我都静止了,还会偷跑吗? Apple ID 也能偷跑?

[kokdemo]

@Ryekee 有一种安卓手机扬眉吐气的感觉……

[niklaus520]

@wind3110991 http://weibo.com/jiaru9?from=feed&loc=at&nick=JeRRy-JiaRu#1442559471028

[chloerei]

@kokdemo 安卓手机有人把各个市场的安装包校验一下 md5 吗？

[solupro]

迅雷下载的貌似安全

[wind3110991]

@qun1me1de 我能不能认为你的回复很没有教养？

[machinemxy]

这事也不全赖网易。像之前上海电信外网“故障”，我连个 Adobe flash player 都下载不下来。如果我当时急切地需要 xCode 做开发，那也只能网上找安装包了。

[beimenjun]

@kokdemo 安卓因为众所周知的原因，国内大量都不是官方下的，自己感受一下，细思恐极。

[wind3110991]

@lisonfan 这样确实对用户不公平，在安全检查方面做的不好，用户信息泄露，公司是要出面负责

[ZRS]

这事基本墙要背一半锅

[wind3110991]

@beimenjun 我说的是官方校招

[yfmir]

今天早上才下了云音乐，然后往下一看尼玛动卡空间， 12306 ，该有的我全装了。。。
不过仔细想了下，这黑 Xcode 上传的都是些 bundleID ，应用名称，国家地区等东西，对于普通用户来说这些数据杀伤力并不大，真正受影响的估计是那些软件商，这应该涉及到部分商业机密的事情了

[Dashit]

现在想想 ATS 出来的挺及时的。

[ibugeek]

@wind3110991 为什么我在微博上看网易的前员工都说网易抠，开发用的是黑苹果或者自带。
网易开发人员赶紧出来反驳！

[lisonfan]

@yfmir 可能没有泄露用户的个人隐私数据，但是转过头来想，一家公司这么不严谨，推向公众之前都不自查？还能相信这家公司吗？

[qun1me1de]

@wind3110991
我没有任何要说你或喷你的意思；

我只是第一时间从微博看到消息之后，再到 V2EX 首页看到这种标题的文章和一些楼主的回复。
然后纯粹模仿的楼主的逻辑和语气

[tsui]

@wind3110991 呵呵，自己看吧。 http://weibo.com/1876829375/CB5Tucg01

[KingHL]

我司最近一直中招，怒其不争啊。

[tsui]

@wind3110991 我觉得吧，学生党就不要死撑着嘴犟了，别人说事实你出来喷是假的，有了来源被打脸了，又说别人没教养。我觉得，你重新定义了“教养”。

[beimenjun]

@beimenjun 你仔细看这些招聘帖子里求证的黑苹果传闻以及回应。

微博上已经有前员工确认黑苹果了，你可以关注一些别人发给你的微博连接。

其实开发机很可能是可以练到外网的，可以说这回就是低级错误，没你想得那么夸张。

[beimenjun]

@wind3110991

[cyberdak]

@ibugeek 怎么不说网易买不起开发者帐号啊。真想拜托你们带脑子回帖