标签 可移植性 下的文章

Go语言之父的反思:我们做对了什么,做错了什么

本文永久链接 – https://tonybai.com/2024/01/07/what-we-got-right-what-we-got-wrong

在《2023年Go语言盘点:稳中求新,稳中求变》和《Go测试的20个实用建议》两篇文章中,我都提到过已经退居二线的Go语言之父Rob PikeGo开源14周年的那天亲自在GopherCon Australia 2023上发表了“What We Got Right, What We Got Wrong”的主题演讲来回顾Go诞生以来的得与失。近期Rob Pike终于将这次演进的文字稿发布了出来GopherCon Australia也在油管上发布了这个演进的视频。Rob Pike的观点对所有Gopher都是极具参考价值的,因此在这篇博文中,我将Rob Pike的这次演讲稿翻译成中文,供大家参考(结合文字稿和视频),我们一起来领略和学习大师的观点。


这是2023年11月10日我在悉尼GopherConAU 2023会议上的闭幕演讲(视频),那一天也是Go开源14周年的日子。本文中穿插着演示文稿中使用的幻灯片。

介绍

大家好!

首先,我要感谢Katie和Chewy让我有幸为此次GopherConAU大会做闭幕演讲。


2009年11月10日

今天是2023年11月10日,Go作为开源项目推出14周年的纪念日。

2009年11月10日那天,加州时间下午3点(如果没记错的话),Ken Thompson、Robert Griesemer、Russ Cox、Ian Taylor、Adam Langley、Jini Kim和我满怀期待地看着网站上线。之后,全世界都知道我们在做什么了。

14年后的今天,有很多事情值得回顾。我想借此机会谈谈自那一天以来学到的一些重要经验。即使是最成功的项目,在反思之后,也会发现一些事情本可以做得更好。当然,也有一些事情事后看来似乎是成功的关键所在。

首先,我必须明确的是,这里的观点只代表我个人,不代表Go团队和Google。无论是过去还是现在,Go都是由一支专注的团队和庞大的社区付出巨大努力的结果。所以,如果你同意我的任何说法,请感谢他们。如果你不同意,请责怪我,但请保留你的意见。

鉴于本次演讲的题目,许多人可能期待我会分析语言中的优点和缺点。当然,我会做一些分析,但还会有更多内容,原因有几个。

首先,编程语言的好坏很大程度上取决于观点而不是事实,尽管许多人对Go或任何其他语言的最微不足道的功能都存在争论。

另外,关于换行符的位置、nil的工作方式、导出的大小写表示法、垃圾回收、错误处理等话题已经有了大量的讨论。这些话题肯定有值得讨论的地方,但几乎没什么是还没有被讨论过的。

但我要讨论的不仅仅是语言本身的真正原因是,语言并不是整个项目的全部。我们最初的目标不是创造一种新的编程语言,而是创造一种更好的编写软件的方式。我们对所使用的语言有意见——无论使用什么语言,每个人都是如此——但是我们遇到的基本问题与这些语言的特性没有太大关系,而是与在谷歌使用这些语言构建软件的过程有关。


T恤上的第一只Gopher

新语言的创建提供了探索其他想法的新路径,但这只是一个推动因素,而不是真正的重点。如果当时我正在工作的二进制文件不需要45分钟来构建
,Go语言就不会出现。但那45分钟不是因为编译器慢(因为它不慢),也不是因为它所用的语言不好(因为它也不差)。缓慢是由其他因素造成的。

我们想解决的就是这些因素:构建现代服务器软件的复杂性:控制依赖性、与人员不断变化的大型团队一起编程、可维护性、高效测试、多核CPU和网络的有效利用等等。

简而言之,Go不仅仅是一种编程语言。当然,它是一种编程语言,这是它的定义。但它的目的是帮助提供一种更好的方式来开发高质量的软件,至少与14多年前的我们的环境相比。

时至今日,这仍然是它的宗旨。Go是一个使构建生产软件更容易、更高效的项目。

几周前,当我开始准备这次演讲时,我只有一个题目,除此之外别无其他。为了激发我的思路,我在Mastodon上向人们征求意见。不少人给予了回复。我注意到了一种趋势:人们认为我们做错的事情都在语言本身,而我们做对的事情都在语言周边,比如gofmt、部署和测试等。事实上,我觉得这令人鼓舞。我们试图做的事情似乎已经产生了效果。

但值得承认的是,我们在早期并没有明确真正的目标。我们可能觉得这些目标是不言自明的。为了弥补这一缺陷,我在2013年的SPLASH会议上发表了一场题为《谷歌的Go语言:面向软件工程的语言设计》的演讲。


Go at Google

那场演讲和相关的博客文章可能是对Go语言为何而生的最好诠释。

今天的演讲是SPLASH演讲的后续,回顾了我们在构建语言之后所学到的经验教训,并且可以更广泛地应用于更大的图景。

那么……来谈谈一些教训。

首先,当然,我们有:

The Gopher

以Go Gopher吉祥物开始可能看起来是一个奇怪的起点,但Go gopher是Go成功的最早因素之一。在发布Go之前,我们就知道我们想要一个吉祥物来装饰周边商品——每个项目都需要周边商品——Renee French主动提出为我们制作一个这样的吉祥物。在这一点上,我们做得非常正确。

下面最早的Gopher毛绒玩具的图片:


The Gopher

这是Gopher的照片,它的第一个原型不太成功。


Gopher和它进化程度较低的祖先

Gopher是一个吉祥物,它也是荣誉徽章,甚至是世界各地Go程序员的身份标志。此时此刻,你正在参加一个名为GopherCon的会议,这是众多GopherCon会议中的一个。拥有一个从第一天就准备好分享信息的容易识别、有趣的生物,对Go的成长至关重要。它天真又聪明——它可以构建任何东西!


Gopher建造机器人(Renee French 绘图)

它为社区参与该项目奠定了基调,这是卓越的技术与真正的乐趣相结合的基调。最重要的是,Gopher是社区的一面旗帜,一面团结起来的旗帜,尤其是在早期,当Go还是编程界的新贵时。

这是几年前Gopher参加巴黎会议的照片,看看他们多兴奋!


巴黎的Gopher观众(Brad Fitzpatrick摄)

尽管如此,在知识共享署名许可(Creative Commons Attribution license)下发布Gopher的设计也许不是最好的选择。一方面,它鼓励人们以有趣的方式重新组合他,这反过来又有助于培养社区精神。


Gopher model sheet

Renee创建了一个“模型表”来帮助艺术家在保持其精神原貌的同时进行艺术创作。

一些艺术家利用这些特征制作了自己版本的Gopher并获得了乐趣;Renee和我最喜欢的版本是日本设计师@tottie的和游戏程序员@tenntennen的:


@tottie的Gopher


@tenntennen 的gopher

但许可证的“归属”部分常常会导致令人沮丧的争论,或者导致Renee的创作不属于她,也不符合原作的精神。而且,说实话,这种归属往往只是不情愿地得到尊重,或者根本没有得到尊重。例如,我怀疑@tenntennen是否因他的Gopher插图被使用而获得补偿或是得到承认。


gophervans.com: Boo!

因此,如果让我们重来一次,我们会认真思考确保吉祥物忠于其理想的最佳方法。维护吉祥物是一件很难的事,而且解决方案仍然难以捉摸。

但更多的是技术性的事情。

做的对的事情

这里有一份我认为我们在客观上做对了的事情的清单,特别是在回顾的时候。并不是每一个编程语言项目都做了这些事情,但清单中的每一件对Go的最终成功都至关重要。我会试着言简意赅,因为这些话题都已为人所熟知。

1. 语言规范(Specification)

我们从正式的语言规范开始。这不仅可以在编写编译器时锁定行为,还可以使多个编译器实现共存并就该行为达成一致。编译器本身并不是一个规范。你测试编译器的依据是什么?


Web上的Go语言规范

哦,顺便说一句,该规范的初稿是在这里编写的,位于悉尼达令港一栋建筑的18层。我们正在Go的家乡庆祝Go的生日。

2. 多种实现

Go有多个编译器实现,它们都实现相同的语言规范。有了规范就可以更容易地实现这一点。

有一天,伊恩·泰勒(Ian Taylor)发邮件通知我们,在阅读了我们的语言规范草案后,他自己编写了一个编译器,这让我们感到惊讶!

Subject: A gcc frontend for Go
From: Ian Lance Taylor
Date: Sat, Jun 7, 2008 at 7:06 PM
To: Robert Griesemer, Rob Pike, Ken Thompson

One of my office-mates pointed me at http://.../go_lang.html .  It
seems like an interesting language, and I threw together a gcc
frontend for it.  It's missing a lot of features, of course, but it
does compile the prime sieve code on the web page.

这的确令人兴奋,但更多的编译器实现也随之而来了,所有这些都因正式规范的存在而成为可能。


很多编译器

拥有多个编译器帮助我们改进了语言并完善了规范,并为那些不太喜欢我们类似Plan-9的业务方式的其他人提供了替代环境。稍后会详细介绍。如今有很多兼容的实现,这很棒!

3. 可移植性

我们使Go应用的交叉编译变得轻而易举,程序员可以在他们喜欢的任何平台上工作,并交付到任何需要的平台。使用Go可能比使用任何其他语言更容易达成这一点。很容易将编译器视为运行它的机器的本地编译器,但没有理由这么认为。打破这个假设具有重要意义,这对许多开发者来说都是新鲜事。


可移植性

4. 兼容性

我们努力使语言达到1.0版本的标准,然后通过兼容性保证将其固定下来,这对Go的采用产生了非常明显的影响!我不理解为什么大多数其他项目一直在抵制这样做。是的,保持强大兼容性的确需要付出成本,但它可以阻止功能特性停滞,而在这个几乎没有其他东西保持稳定的世界里,不必担心新版本的Go会破坏你的项目,这足以令人感到欣喜!


Go兼容性承诺

5. 标准库

尽管它的增长在某种程度上是偶然的,因为在一开始没有其他地方可以安装Go代码,但拥有一个坚实、制作精良的标准库,其中包含编写21世纪服务器代码所需的大部分内容,这是一个重大资产。在我们积累了足够的经验来理解还应该提供什么之前,它使整个社区都使用相同的工具包。这非常有效,并有助于防止出现不同版本的库,从而帮助统一社区。


标准库

6. 工具

我们确保该语言易于解析,从而支持工具构建。起初我们认为Go需要一个IDE,但易于构建工具意味着,随着时间的推移,IDE将会出现在Go上。他们和gopls一起做到了,而且他们非常棒。


工具

我们还为编译器提供了一套辅助工具,例如自动化测试、覆盖率和代码审查(code vetting)。当然还有go命令,它集成了整个构建过程,也是许多项目构建和维护其Go代码所需的一切。


快速构建

此外,Go获得了快速构建的声誉,这也没有什么坏处。

7. Gofmt

我将gofmt作为一个单独的项目从工具中拿出来,因为它是一个不仅在Go上而且在整个编程社区上留下了印记的工具。在Robert编写gofmt之前(顺便说一句,他从一开始就坚持这样做),自动格式化程序的质量不高,因此大多未被使用。


gofmt谚语

gofmt的成功表明了代码自动格式化可以做得很好,今天几乎每种值得使用的编程语言都有一个标准格式化程序。我们不再为空格和换行符争论,这节省了大量时间了,这也让那些花在定义标准格式和编写这段相当困难的代码实现格式自动化上的时间显得超值。

此外,gofmt还使无数其他工具成为可能,例如简化器、分析器甚至是代码覆盖率工具。因为gofmt的内容成为了任何人都可以使用的库,所以你可以解析程序、编辑AST,然后打印完美的字节输出,供人类和机器使用。

谢谢,罗伯特。

不过,恭喜你就够了。接下来,我们来谈谈一些更有争议的话题。

并发性

并发有争议吗?嗯,在我2002年加入谷歌的那年肯定有。John Ousterhout曾说过:线程很糟糕。许多人都同意他的观点,因为线程似乎非常难以使用。


John Ousterhout不喜欢线程

谷歌的软件几乎总是避免使用它们,可以说是彻底禁止使用,而制定这一禁令的工程师引用了Ousterhout的言论。这让我很困扰。自20世纪70年代以来,我一直在做类似的并发事情,有时候甚至没有意识到,在我看来这很强大。但经过反思,很明显Ousterhout犯了两个错误。首先,他的结论超出了他有兴趣使用线程的领域,其次,他主要是在抱怨使用笨拙的低级包如pthread之类的线程,而不是抱怨这一基本思想。

像这样混淆解决方案和问题是世界各地工程师常犯的错误。有时,提出的解决方案比它解决的问题更难,并且很难看到有更简单的路径。但我离题了。

根据经验,我知道有更好的方法来使用线程,或者无论我们选择怎么称呼它们,我甚至在Go语言出现之前就曾就此发表过演讲。


Newsqueak中的并发

但我并不孤单,其他许多语言、论文甚至书籍都表明,并发编程可以做得很好,不仅我知道这一点。它只是还没有在主流中流行起来,Go的诞生部分地就是为了解决这个问题。在那次臭名昭著的45分钟构建中,我试图向一个非线程二进制文件添加一个线程,这非常困难,因为我们使用了错误的工具。

回顾过去,我认为可以公平地说,Go在让编程界相信并发是一种强大工具方面发挥了重要作用,特别是在多核网络世界中,它可以比pthread做得更好。如今,大多数主流语言都对并发提供了很好地支持。


Google 3.0

另外,Go的并发版本在导致它出现的语言线中有些新颖,因为它使goroutine变得平淡无奇。没有协程,没有任务,没有线程,没有名称,只有goroutine。我们发明了“goroutine”这个词,因为没有适合的现有术语。时至今日,我仍然希望Unix的拼写命令可以学会它。

顺便说一句,因为我经常被问到,让我花一分钟时间谈谈async/await。看到async/await模型及其相关风格成为许多语言选择支持并发的方式,我有点难过,但它肯定是对pthreads的巨大改进。

与goroutine、channel和select相比,async/await对语言实现者来说更容易也更小,可以更容易地内建或后移植到现有平台中。但它将一些复杂性推回给了程序员,通常会导致Bob Nystrom所著名的“彩色函数”。


你的函数是什么颜色的

我认为Go表明了CSP这种不同但更古老的模型可以完美地嵌入到过程化语言中,没有这种复杂性。我甚至看到它几次作为库实现。但它的实现,如果做得好,需要显著的运行时复杂性,我可以理解为什么一些人更倾向于不在他们的系统中内置它。不管你提供什么并发模型,重要的是只提供一次,因为一个环境提供多个并发实现可能会很麻烦。Go当然通过把它放在语言中而不是库中解决了这个问题。

关于这些问题可能要讲整场演讲,但目前就这些吧。

并发的另一个价值在于,它使Go看起来像是全新的东西。如我所说,一些其他语言在之前已经支持了它,但它们从未进入主流,而Go对并发的支持是吸引初学者采用的一个主要因素,它吸引了以前没有使用过并发但对其可能性感兴趣的程序员。

这就是我们犯下两个大错误的地方。


耳语的Gopher(Cooperating Sequential Processes)

首先,并发很有趣,我们很高兴拥有它,但我们设想的使用案例大多是服务器相关的,意在在net/http等关键库中完成,而不是在每个程序的所有地方完成。当许多程序员使用它时,他们努力研究它如何真正帮助他们。我们应该一开始就解释清楚,语言中的并发支持真正带到桌面的是更简单的服务器软件。这个问题空间对许多人很重要,但并非所有尝试Go的人都是如此,这点指导不足是我们的责任。

相关的第二点是,我们用了太长时间来澄清并行和并发之间的区别——支持在多核机器上并行执行多个计算,以及一种组织代码的方式,以便很好地执行并行计算。


并发不是并行

无数程序员试图通过使用goroutine来并行化他们的代码以使其更快,但经常对结果中的速度降低感到困惑。仅当基础问题本质上是并行的时候,例如服务HTTP请求,并发代码才会通过并行化而变快。我们在解释这一点上做得很糟糕,结果让许多程序员感到困惑,可能还赶走了一些人。

为了解决这个问题,我在2012年Waza上给Heroku的开发者大会做了一个题为“并发不是并行”的演讲。这是一次很有趣的演讲,但它应该更早发生。

对此表示歉意。但好处仍然存在:Go帮助普及了并发性作为构建服务器软件的一种方式。

接口

很明显,接口与并发都是Go中与众不同的思想。它们是Go对面向对象设计的答案,采用最初关注行为的风格,尽管新来者一直在努力使结构体承担这一角色。

使接口动态化,无需提前宣布哪些类型实现了它们,这困扰了一些早期评论者,并且仍然恼火一小部分人,但它对Go培育的编程风格很重要。大部分标准库都是建立在它们的基础之上的,而更广泛的主题如测试和管理依赖也高度依赖于它们慷慨的“欢迎所有人”的天性。

我觉得接口是Go中设计最好的部分之一。

除了一些早期关于接口定义中是否应该包括数据的讨论之外,它们在讨论的第一天就已经成形。


GIF 解码器:Go接口的练习(Rob Pike和Nigel Tao 2011)

在这个问题上还有一个故事要讲。

在Robert和我的办公室里那著名的第一天,我们讨论了关于多态性应该怎么处理的问题。Ken和我从C语言中知道qsort可以作为一个困难的测试用例,所以我们三个人开始讨论用我们这种初具雏形的语言如何实现一个类型安全的排序例程(routine)。

Robert和我几乎同时产生了同样的想法:在类型上使用方法来提供排序所需的操作。这个概念很快发展成了一个想法,即值类型拥有作为方法定义的行为,一组方法可以提供函数可以操作的接口。Go的接口几乎立即就出现了。


sort.Interface

有一点没人经常提到:Go的sort函数是作为一个在接口上操作的函数实现的。这与大多数人熟悉的面向对象编程风格不同,但这是一个非常强大的想法。

这个想法对我们来说非常激动人心,它可能成为一个基础的编程构造,这令我们陶醉。当Russ Cox加入时,他很快指出了I/O如何完美地融入这个想法,标准库的发展非常迅速,在很大程度上依赖于三个著名的接口:空接口(interface{})、Writer和Reader,每个接口平均包含两个第三个方法。那些微小的方法对Go来说是惯用法,无处不在。

接口的工作方式不仅成为Go的一个显著特性,它们也成为我们思考库、泛型和组合的方式。这是让人兴奋的事情。

但我们在这个问题上停止讨论可能是一个错误。

你看,我们之所以走上这条路,至少在一定程度上是因为我们看到泛型编程太容易鼓励一种倾向于在算法之前首先关注类型的思考方式。过早抽象而不是有机设计。容器而不是函数。

我们在语言中正确定义了通用容器——map,切片,数组,channel——而不给程序员访问它们所包含的泛型。这可以说是一个错误。我们相信,我认为仍然正确的是,大多数简单的编程任务可以很好地由这些类型来处理。但有一些不能,语言提供的和用户可以控制的之间的障碍肯定困扰了一些人。

简而言之,尽管我不会改变接口的任何工作方式,但它们以需要十多年时间才能纠正的方式影响了我们的思维。Ian Taylor从一开始就推动我们面对这个问题,但在接口作为Go编程基石的情况下,这是相当困难的。

评论者经常抱怨我们应该使用泛型,因为它们“很简单”,在某些语言中可能确实如此,但接口的存在意味着任何新的多态形式都必须考虑到它们。找到一种可以与语言的其余部分很好地协同工作的前进方法需要多次尝试,几次中止的实现,以及许多小时、天数和周数的讨论。最终,在Phil Wadler的带领下,我们召集了一些类型理论家来提供帮助。即使在语言中有了可靠的泛型模型,作为方法集存在的接口也仍然存在一些遗留问题。


泛型版sort

如你所知,最终的答案是设计一个可以吸收更多多态形式的接口泛化,从“方法集合”过渡到“类型集合”。这是一个微妙但深刻的举措,大多数社区似乎都可以接受,尽管我怀疑抱怨声永远不会停止。

有时候要花很多年的时间来弄清楚一些事情,或者甚至弄清楚你并不能完全弄明白它。但你还是要继续前进。

顺便说一句,我希望我们有一个比“泛型”更好的术语,它起源于表示一种不同的数据结构中心多态风格。“参数多态”是Go提供的该功能的正确术语,这是一个准确的术语,但它难听。于是我们依然说“泛型”,尽管它不太恰当。

编译器

困扰编程语言社区的一件事是,早期的Go编译器是用C语言编写的。在他们看来,正确的方式是使用LLVM或类似的工具包,或者用Go语言本身编写编译器,这称为自举。我们没有做这两者中的任何一种,原因有几个。

首先,自举一种新语言要求至少其编译器的第一步必须用现有语言完成。对我们来说,C语言是显而易见的选择,因为Ken已经编写了C编译器,并且其内部结构可以很好地作为Go编译器的基础。此外,用自己的语言编写编译器,同时开发该语言,往往会产生一种适合编写编译器的语言,但这不是我们想要的语言。

早期的编译器工作良好,它可以很好地引导语言。但从某种意义上说,它有点奇怪,实际上它是一个Plan 9风格的编译器,使用旧的编译器编写思想,而不是新的思想,如静态单一赋值(SSA)。生成的代码平庸,内部不太漂亮。但它是务实高效的,编译器代码本身体积适中,对我们来说也很熟悉,这使得我们在尝试新想法时可以快速进行更改。一个关键步骤是添加自动增长的分段堆栈。这很容易添加到我们的编译器中,但是如果我们使用像LLVM这样的工具包,考虑到ABI和垃圾收集器支持所需的更改,将这种更改集成到完整的编译器套件中是不可行的。

另一个工作良好的区域是交叉编译,这直接来自原始Plan 9编译器套件的工作方式。

按照我们的方式行事,无论多么非正统,都有助于我们快速前进。有些人对这一选择感到冒犯,但这对当时的我们来说是正确的选择。


Go 1.5之后的Go编译器架构

对于Go 1.5版本,Russ Cox编写了一个工具,可以半自动将编译器从C转换为Go。到那时,语言已经完成,编译器导向的语言设计的担忧也就无关紧要了。有一些关于这个过程的在线演讲值得一看。我在2016年的GopherCon上做了一个关于汇编器的演讲,这在我毕生追求可移植性的过程中是一个高点。


Go汇编器设计(GopherCon 2016)

我们从C开始做了正确的事情,但最终将编译器翻译为Go,使我们能够将Go所具有的所有优势带到其开发中,包括测试、工具、自动重写、性能分析等。当前的编译器比原始编译器干净得多,并且可以生成更好的代码。但是,当然,这就是自举的工作原理。

请记住,我们的目标不仅仅是一种语言,而是更多。

我们不寻常的做法绝不是对LLVM或语言社区中任何人的侮辱。我们只是使用了最适合我们任务的工具。当然,今天有一个LLVM托管的Go编译器,以及许多其他应该有的编译器。

项目管理

我们从一开始就知道,要成功,Go必须是一个开源项目。但我们也知道,在弄清楚关键的思想和有一个工作的实现之前,私下开发会更高效。头两年对澄清我们在试图实现什么,而不受干扰,是必不可少的。

向开源的转变是一个巨大的改变,也很具教育意义。来自社区的投入是压倒性的。与社区的接触花费了大量的时间和精力,尤其是对Ian,不知怎么他找到时间来回答任何人提出的每一个问题。但它也带来了更多。我仍然惊叹在Alex Brainman的指导下,社区完全独立完成的Windows移植的速度。那很神奇。

我们花了很长时间来理解转向开源项目的影响,以及如何管理它。

特别是,公平地说,我们花了太长时间来理解与社区合作的最佳方式。本次演讲的一个主题是我们的沟通不足——即使我们认为我们正在进行良好沟通——由于误解和不匹配的期望,大量时间被浪费了。本可以做得更好。

但是,随着时间的推移,我们说服了社区中的至少那一部分和我们在一起的人,我们的一些想法,虽然与常见的开源方式不同,但具有价值。最重要的是我们坚持通过强制代码审查和对细节的穷尽关注来维护高质量代码


Mission Control (drawing by Renee French)

一些项目的工作方式不同,它们快速接受代码,然后在提交后进行清理。Go项目则相反,力图将质量放在第一位。我相信这是更有效的方式,但它将更多的工作推回社区,如果他们不理解其价值,他们就不会感到应有的欢迎。在这方面还有很多东西要学习,但我相信现在的情况已经好多了。

顺便说一句,有一个历史细节不是广泛为人知的。该项目使用过4个不同的内容管理系统:SVN、Perforce、Mercurial和Git。Russ Cox做了一份艰巨的工作,保留了所有历史,所以即使今天,Git仓库也包含了在SVN中做出的最早的更改。我们都认为保留历史很有价值,我要感谢他做了这项艰苦的工作。

还有一点。人们经常认为谷歌会告诉Go团队该做什么。这绝对不是真的。谷歌对Go的支持非常慷慨,但它不制定议程。社区的投入要大得多。谷歌内部有一个巨大的Go代码库,团队用它来测试和验证版本,但这是通过从公共仓库导入谷歌完成的,而不是反过来。简而言之,核心Go团队由谷歌支付薪水,但他们是独立的。

包管理

Go的包管理开发过程做得并不好。我相信,语言本身的包设计非常出色,并且在我们讨论的第一年左右的时间里消耗了大量的时间。如果你感兴趣的话,我之前提到的SPLASH演讲详细解释了它为什么会这样工作。

一个关键点是使用纯字符串来指定导入语句中的路径,从而提供了我们正确认为很重要的灵活性。但从只有一个“标准库”到从网络导入代码的转变是坎坷的。


修复云(Renee French 绘制)

有两个问题。

首先,我们这些Go核心团队的成员很早就熟悉Google的工作方式,包括它的monorepo(单一代码仓库)和每个人都在负责构建。但是我们没有足够的经验来使用具有大量包版本的包管理器以及尝试解决依赖关系图的非常困难的问题。直到今天,很少有人真正理解技术的复杂性,但这并不能成为我们未能从一开始就解决这些问题的借口。这尤其令人尴尬,因为我曾是一个失败项目的技术负责人,为谷歌的内部构建做类似的事情,我应该意识到我们面临的是什么。


deps.dev

我在deps.dev上的工作是一种忏悔。

其次,让社区参与帮助解决依赖管理问题的初衷是好的,但当最终设计出来时,即使有大量的文档和有关理论的文章,社区中的许多人仍然感到受到了轻视。


pkg.go.dev

这次失败给团队上了一课,让他们知道如何真正与社区互动,并且自此取得了很大的进步。

不过,现在事情已经解决了,新的设计在技术上非常出色,并且似乎对大多数用户来说效果很好。只是时间太长,而且道路崎岖不平。

文档和示例

我们事先没有得到的另一件事是文档。我们写了很多文档,并认为我们做得很好,但很快就发现社区想要的文档级别与我们的预期不同。


修理图灵机的Gopher(Renee French 绘图)

关键缺失的一部分是最简单函数的示例。我们曾以为只需说明某个东西的功能就足够了,但我们花费了太长时间才接受到展示如何使用它的价值更大。


可执行的例子

不过,我们已经吸取了教训。现在文档中有很多示例,大部分是由开源贡献者提供的。我们很早就做的一件事就是让它们在网络上可执行。我在2012年的Google I/O大会上做了一次演讲,展示了并发的实际应用,Andrew Gerrand 编写了一段可爱的Web goo,使得直接从浏览器运行代码片段成为可能。我怀疑这是第一次这样做,但Go是一种编译语言,很多观众以前从未见过这个技巧。然后该技术被部署到博客和在线包文档中。


Go playground

也许更重要的是我们对Go Playground的支持,这是一个免费的开放沙箱,供人们尝试,甚至开发代码。

结论

我们已经走了很长一段路。

回顾过去,很明显很多事情都做得对,并且它们都帮助Go取得了成功。但还有很多事情可以做得更好,重要的是要承认这些问题并从中学习。对于任何托管重要开源项目的人来说,双方都有教训。

我希望我对这些教训及其原因的历史回顾会有所帮助,也许可以作为对那些反对我们正在做的事情和我们如何做的人的一种道歉/解释。


GopherConAU 2023 吉祥物,作者:Renee French

但在推出 14 年后,我们终于来了。公平地说,总的来说这是一个非常好的地方。

很大程度上是因为通过设计和开发Go作为一种编写软件的方式(而不仅仅是作为一种编程语言)做出的决定,我们已经到达了一个新的地方。

我们到达这里的部分原因包括:

  • 一个强大的标准库,可实现服务器代码所需的大部分基础知识
  • 并发作为该语言的“一等公民”
  • 基于组合而不是继承的方法
  • 澄清依赖管理的打包模型
  • 集成的快速构建和测试工具
  • 严格一致的代码格式
  • 注重可读性而非聪明性
  • 兼容性保证

最重要的是,得益于令人难以置信的乐于助人且多元化的Gophers社区的支持。


多元化的社区(@tenntennen 绘图)

也许这些问题最有趣的结果是,无论是谁编写的Go代码的外观和工作原理都是一样的,基本上没有使用该语言的不同子集的派系,并且保证随着时间的推移代码可继续编译和运行。对于主要编程语言来说,这可能是第一次。

我们绝对做对了。

谢谢。


“Gopher部落”知识星球旨在打造一个精品Go学习和进阶社群!高品质首发Go技术文章,“三天”首发阅读权,每年两期Go语言发展现状分析,每天提前1小时阅读到新鲜的Gopher日报,网课、技术专栏、图书内容前瞻,六小时内必答保证等满足你关于Go语言生态的所有需求!2024年,Gopher部落将进一步聚焦于如何编写雅、地道、可读、可测试的Go代码,关注代码质量并深入理解Go核心技术,并继续加强与星友的互动。欢迎大家加入!

img{512x368}
img{512x368}

img{512x368}
img{512x368}

著名云主机服务厂商DigitalOcean发布最新的主机计划,入门级Droplet配置升级为:1 core CPU、1G内存、25G高速SSD,价格5$/月。有使用DigitalOcean需求的朋友,可以打开这个链接地址:https://m.do.co/c/bff6eed92687 开启你的DO主机之路。

Gopher Daily(Gopher每日新闻) – https://gopherdaily.tonybai.com

我的联系方式:

  • 微博(暂不可用):https://weibo.com/bigwhite20xx
  • 微博2:https://weibo.com/u/6484441286
  • 博客:tonybai.com
  • github: https://github.com/bigwhite
  • Gopher Daily归档 – https://github.com/bigwhite/gopherdaily

商务合作方式:撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。

究竟是什么让Go语言成为恶意软件作者的最爱

2020年5月份,Go语言之父Rob Pike接受了evrone.com的专访。当Rob Pike老爷子被问及多年来他看到过最奇怪、最有创意或有趣的Go用法或最让他惊讶的是什么时,老爷子是这么回答的:

Rob:最大的惊喜是当我们得知Go被用于编写恶意软件时。您无法控制谁将使用您的作品或他们将如何使用它。

近期安全技术公司Intezer发布了一份名为《Year of the Gopher, A 2020 Go Malware Round-Up》的报告,该报告称在过去几年中,安全人员发现的用Go编写的新恶意软件几乎增加了2000%,这一标题迅速引爆程序员社区,有人唾弃Go踏入“歧途”,也有人膜拜Go的niubility:能被黑客看中和使用的都是精华!

那么究竟是什么让黑客们这么青睐Go并用之去编写恶意软件呢?估计但那份几十页的报告没几个人会完整的读一遍,本文我们就结合报告的内容(分类、整理、摘录)做一些探究。

1. Go语言的简介

报告首先简单介绍了Go的前世今生

Go是一种开源的编程语言,由Robert Griesemer、Rob Pike和Ken Thompson于2007年在Google开发。它于2009年11月向公众发布。开发新语言的动机来自于使用当前编程语言(当时三巨头都是用C++)的挫折感。由于CPU不再通过增加时钟周期的数量来提高速度。相反,更多的速度开始通过添加更多的CPU核并允许更多的并行执行来获得。这种硬件上的进化并没有很好地反映在通用编程语言中。虽然C、C++和Java等语言提供了在多核上并行执行事务的功能,但它们为程序员提供的帮助却很少,无法高效、安全地完成这项工作。

Google的程序员们于是开始设计一种新的编程语言,为方便和安全的使用并发或并行提供“原生/一等公民地位”的支持。另一个目标则是要将解释型语言的编程便利性与静态类型和编译型语言的效率和安全性结合起来。另外在设计时,Google是将其用于Google基础设施运行的一部分网络服务中,因此对网络的支持也很重要。

为了提供在解释语言中编程的感觉,Go使用垃圾收集并处理所有的内存管理。所有的Go二进制文件都包含一个称为运行时的通用库,这导致Go二进制文件的大小比用C语言编写的类似的静态链接的程序要大。该库负责处理垃圾收集、执行线程的调度以及该语言的所有其他关键功能。虽然它被称为运行时,但比起Java运行时,它更像C语言的libc,它已经与二进制文件进行了静态编译。Go二进制文件被编译成本地机器代码,但也可以被编译成以JavaScript为运行时的WebAssembly。

Go 1.4版本及更早版本的编译器是用C语言实现的,但随着2015年1.5版本的发布,编译器完全用Go语言编写,并实现了自举。转为自举编译器后,给用户在交叉编译方面的体验带来了巨大的改善。之前使用基于C语言的编译器时,需要在编译代码的机器上安装一个针对目标操作系统和架构的C编译器。和针对不同目标的C代码进行交叉编译时的方式非常相似。从1.5版本开始,只需要向编译器指明它的编译目标架构,就可以实现对不同操作系统和架构的交叉编译。不需要针对目标的特殊编译器。Go可以通过不依赖主机上的库来执行例如syscalls(系统调用)。本来由libc提供的功能由Go的标准库提供和处理。这种方便的交叉编译有一个限制,那就是当Go程序需要通过其外函数接口(FFI)与C语言编写的库进行交互时。

新的功能和解决方案使得程序员在新项目中采用Go。2016年,TIOBE授予Go“年度最佳编程语言”,这是一个授予评分上升幅度最高的语言的奖项。随着软件开发者因其功能而开始采用Go,恶意软件作者也开始采用Go也就不足为奇了。

人们注意到使用Go开发的恶意软件增多是从2019年Palo Alto Networks公司发布的一份分析报告开始的。2019年7月,Palo Alto Networks公司的Unit 42发布了对当时发现的用Go编写的恶意软件的分析报告。研究发现,2017年至2019年期间,人们发现的Go恶意软件样本增加 了1944%,这量化了一个很容易发现的趋势。在2019年之前,发现用Go编写的恶意软件更多的是一种罕见的现象,而在2019年期间,这成为了一种日常现象。报告中分析的恶意软件中,大部分,92%的恶意软件针对Windows,而4.5%针对Linux,3.5%针对macOS。
人们观察到的另一点是,渗透测试(pen-testing)团队采用Go来开发他们的工具,这在Unit 42的研究中很突出。

最常见的恶意软件家族类型是开源或渗透测试后门。其次是coinminer(挖矿)、窃取者和僵尸网络。这篇报告涵盖了2020年期间活跃的用Go编写的已知恶意软件的活动。

2. 使用Go的嵌入文件功能实现恶意加载器

与其他语言产生的二进制文件相比,Go编译器产生的二进制文件相对较大。例如,一个Hello World二进制文件有1700多个函数。由于二进制文件中有这么多的常用代码,因此在寻找可疑代码时就像大海捞针一样。这可能是为什么恶意Go二进制文件有时不被 反病毒引擎检测到的原因之一。这导致一些威胁行为者在Go中开发加载器,并利用它们来提供其他较老的、易被检测到的恶意软件。这种技术可以降低被检出率,甚至有时会使恶意软件完全无法被检测到。在Go二进制文件中嵌入其他二进制文件相对容易。有很多开源库已经解决了这个问题。下面是其中的一些列表:

  • https://github.com/gobuffalo/packr
  • https://github.com/rakyll/statik
  • https://github.com/GeertJohan/go.rice
  • https://github.com/UnnoTed/fileb0x
  • https://github.com/mjibson/esc
  • https://github.com/kevinburke/go-bindata
  • https://github.com/lu4p/binclude
  • https://github.com/omeid/go-resources
  • https://github.com/pyros2097/go-embed
  • https://github.com/wlbr/mule
  • https://github.com/miscing/embed
  • https://github.com/kyioptr/gassets

上述包的大部分的设计都是为了允许嵌入网络服务的静态资源文件(asset),但使用案例并不限于此。嵌入文件的功能受到了广泛的好评,以至于今年2020年早些时候有人建议将该功能直接添加到Go编译器中。该建议已被接受,并已与2021年2月发布的Go 1.16版本一起发布了。从这个角度来看,Go 1.16版本加入嵌入文件功能,颇有些“助纣为虐”之嫌^_^。

3. 使用Go标准库强大的加密库和便捷的跨主机交叉编译特性实现恶意加密器和勒索软件

Go的标准库提供了一套非常强大的加密库,允许开发者在不需要使用任何第三方库的情况下,在应用中加入加密功能。

一个开源的加密加载器是Go shellcode LoaDer。它用AES对有效载荷进行加密。它对有效载荷进行解密,并在执行之前使用ZwProtectVirtualMemory将解密缓冲区标记为读取/执行。

我们还观察到威胁行为者编写自己的加密器和加载器。例如,我们看到一个名为gocrypter的加载器被用于加密商品恶意软件;大多数是RAT(Remote Access Trojans,远程访问木马)和键盘记录器。有效载荷已经用AES加密,并作为base64编码的blob存储在二进制内部。加密器将其解码成字节,并在写入磁盘和执行之前进行解密。

在2020年仍有一些活动的勒索软件,比如:RobbinHood。RobbinHood在2019年春季被发现,当巴尔的摩市被发现受到该勒索软件攻击时,得到了很多媒体的关注。Sophos在2月份发布了一份报告,详细介绍了该威胁行为者的一些演变过程。通过利用技嘉公司的一个脆弱的驱动程序,威胁行为者开始加载一个未签名的驱动程序。一旦驱动程序被加载,它将杀死进程和篡改保护软件,以确保勒索软件可以在不被中断的情况下加密硬盘驱动器的其余部分。但在2020年11月,仍有新的样本被发现,但勒索说明没有改变。11月的一个样本的PDB字符串为C:/Users/User/go/src/Robbinhood7,这表明根据恶意软件作者的说法,它可能是第7个版本的勒索软件。

另一个用Go编写的、仍然活跃的老牌勒索软件是Snatch。Snatch是在2018年12月被发现的,到现在似乎还在使用。该勒索软件由Snatch Team使用,他们通过远程访问服务(例如RDP)瞄准企业环境。一旦进入网络,该组织就会尝试在所有机器上部署勒索软件, 并对文件进行加密。该勒索软件在加密文件时有一个有趣的技术,该技术在2019年10月被引入到勒索软件中。该勒索软件将自己安装为一项服务,即使Windows启动到安全模式,也可以启动。在此之后,勒索软件将Windows重新启动到安全模式,允许它加密硬盘上的所有文件,而不会被安装的任何潜在的安全保护软件阻止。

Nefilim是一款勒索软件,最早出现在2020年3月。它是另一款名为Nemty的勒索软件的前身。最初的版本是用C++编写的,但在7月,该恶意软件用Go重新编写。除了加密受害者机器上的文件外,Nefilim背后的威胁行为者还窃取受害者的数据,并用于勒索。

由于Go提供了一种针对不同架构和操作系统交叉编译二进do制文件的简单方法,因此它被用于RaaS(Ransomware as a Service)勒索软件并不奇怪。它允许威胁行为者使用单一的代码库,以极低的工作量制作针对不同操作系统的二进制文件。Go已经被用于RaaS。在2020年的春天,一个新的RaaS被宣布,名为Smaug。Smaug是一个相对简单的勒索软件,但它为Windows、Linux和macOS提供”用户”的勒索软件服务。它可以在”企业”模式下运行,即所有机器使用一个密钥,或者每台机器模式下使用一个密钥。

Go可以为其他操作系统和架构制作二进制文件,这使得威胁行为者可以轻松地针对不同类型的设备,例如,嵌入式系统。在2019年夏天,我们发现了QNAPCrypt,也就是eCh0raix,这是一款针对QNAP NAS设备的勒索软件。后来,它还被用来针对Synology NAS设备。2020年,又发现了一款针对QNAP设备的新勒索软件。新的勒索软件被称为AgeLocker,因为它使用了开源的加密工具和库age

在2020年期间发现的其他用Go编写的勒索软件包括。1月发现的Betasup,2月发现的Sorena也就是HackForLife和Vash,3月发现的GoGoogle。

4. 使用Go优秀的网络协议栈实现开发RAT(远程访问木马)、恶意偷窃程序、恶意机器人和僵尸网络

Go的网络协议栈写得非常好,易于操作。Go已经成为云计算的编程语言之一,很多云原生应用都是用它编写的。例如,Docker、Kubernetes、InfluxDB、Traefik、Terraform、CockroachDB、Prometheus和Consul都是用Go编写的。这是有道理的,因为创建Go背后的原因之一正是要发明一种更好的语言,可以用来取代Google内部使用的C++网络服务。因此远程访问木马(RAT)是用Go编写的,这并不奇怪。毕竟,它们非常需要优良的网络服务功能。

在这一年中,既有新的RAT出现,也有老的RAT不断被使用。早在2020年8月,我们发现了一个Linux版本的Carbanak威胁行为体使用的后门。该样本使用2017年2月发布的Go 1.8版本编译器进行编译。同样的编译器版本和构建环境被用于2017年RSA报告的一部分的初始Windows样本。

Glupteba是一个自2011年以来一直存在的恶意软件,但在2019年9月,发现了一个用Go改写的新版本。在整个2020年,这个新版本出现的更为频繁。该恶意软件在感染机器时,会尝试安装一个root-kit。为了绕过Windows中防止安装内核驱动程序的保护措施,恶意软件利用了一个脆弱的VirtualBox驱动程序。恶意软件会安装该驱动程序,由于该驱动程序是经过签名的,所以Windows会允许安装,并使用它在Ring-0中执行代码,以禁用Kernel Patch Protection(KPP)。这种技术并不新鲜,它最早被APT组织Turla使用。除此之外,该恶意软件还试图通过利用EternalBlue在本地网络内进行传播。

Windows并不是唯一一个被用Go编写的RAT攻击的操作系统。2020年10月,Bitdefender发布了一个针对Linux的新RAT的发现。Bitdefender的研究人员认为,它可能与2019年的PowerGhost活动有关。该威胁行为体针对的是易受CVE-2019-2725影响的WebLogic服务器。该RAT似乎被作者命名为NiuB。该恶意软件由两个二进制文件组成,即主恶意软件和一个防护恶意软件。该恶意软件收集受感染机器的信息,并将其发送到C2服务器。它可以执行shell命令,下载并执行其他二进制文件。

2020年1月,FireEye发布了一份针对NetScaler设备的攻击报告。攻击是利用CVE-2019-19781漏洞。作为攻击的一部分,威胁行为者使用了一种新的恶意软件,以前从未见过。FireEye将该恶意软件命名为NOTROBIN。它是用Go编写的,并被编译成在*BSD上运行,这是NetScaler使用的底层操作系统。一个有趣的功能是,该恶意软件通过扫描新的NetScaler模板文件并将其删除来阻止其他恶意软件利用相同的漏洞,这些文件可能是作为利用尝试的一部分添加的。它在18634端口上打开一个UDP监听器,但忽略发送到它的数据。它基本上充当了一个mutex,以确保受感染的机器上只运行一个恶意软件的副本。

已经有一些用Go编写的窃取器。在2019年,Malwarebytes报告了一个名为CryptoStealer.Go的窃取器。它旨在窃取加密货币钱包和 存储在浏览器中的数据,如信用卡信息。

同样在2020年期间,发现了一个用Go编写的剪贴板窃取器。它似乎自2019年以来一直活跃。根据上传到VirusTotal的样本的文件名 ,该窃取器被伪装成黑客工具,表明它被用来针对其他威胁行为者。该恶意软件的设计很简单。它将自己安装在App/DataLocal/Support下,并隐藏文件或文件夹。它读取剪贴板并检查它是否看起来像加密货币地址。如果是,恶意软件就会用攻击者自己的比特币、莱特币、Monero或Ethereum钱包替换剪贴板内容。

该恶意软件中的比特币钱包地址自2018年秋季以来一直处于活跃状态。截至本文撰写时,它已经收到了534笔交易,价值近11BTC。

随着Go作为标准库的一部分支持许多网络协议,以及为不同架构编译二进制文件的便利性,越来越多的机器人用Go编写也就不足为奇了。另外,二进制文件包含了正常运行所需的一切,这也为代码作者提供了更多的保证,例如,它可以在不同的Linux发行版上运行。它不用担心机器上是否已经安装了库。因为它需要什么,就自带什么。还有很多第三方库,提供了访问其他服务的功能。

比如这里列出了一些机器人库,可以用来开发不同服务的机器人。

  • https://github.com/go-joe/joe
  • https://github.com/bot-api/telegram
  • https://github.com/shomali11/slacker
  • https://github.com/go-chat-bot/bot
  • https://github.com/frodsan/fbot
  • https://github.com/go-telegram-bot-api/telegram-bot-api
  • https://github.com/tucnak/telebot

随着开源机器人库的出现,它们被恶意软件作者滥用的情况并不少见。IRCFlu就是一个例子。IRCFlu是一个托管在GitHub上的IRC机器人。该机器人提供了在托管机器人的机器上执行任意代码的功能,这使得威胁行为者可以利用这个机器人远程控制多台受感染的机器。

除了开源项目被滥用外,2020年还出现了老牌知名僵尸网络的攻击行为。被称为ddg的僵尸网络是由Netlab在360首次报道的。他们在2017年10月检测到该僵尸网络对托管OrientDB的服务器的攻击。该僵尸网络的目标是安装Monero矿机。2020年,该僵尸网络进行了更新,通过增加一个p2p网络支持的C2基础设施,使其更有弹性地抵御击杀。混合的p2p网络基础设施允许威胁行为者在正常的C2服务器瘫痪时保持对机器人的控制。

另一个仍然活跃的老僵尸网络是StealthWorker,也被称为GoBrut。StealthWorker是Malwarebytes在2019年2月首次报道的。它是一个以Stealth Bomber为名在暗网论坛上销售的僵尸,用于通过凭证式蛮力攻击获得网络服务的访问权限。

僵尸网络r2r2是另一个通过蛮横强迫凭证传播的僵尸。它最早是在2018年被发现的。它随机生成IP地址,并试图通过弱凭证访问运行SSH的服务。一旦它获得了一个立足点,它就会在机器上安装一个密码器。该僵尸的功能非常有限,它由不到200百行的代码组成。

其他僵尸网络也在不断进化,以增加其潜在的目标。在2020年,Orthrus,也被称为Golang,演变为也针对Windows服务器。该僵尸是Antiy在2019年6月首次报道的。它主要针对未受保护或凭证薄弱的Redis服务器。一旦它获得远程代码执行,它就会安装一套二进制文件。一个是针对其他易受攻击服务的扫描器,一个看门狗服务和一个密码器。扫描器试图破坏其他有已知漏洞的网络服务。例如,Weblogic,Elasticsearch和Drupal是目标。在2020年,该恶意软件还增加了针对微软SQL服务器的目标。它试图通过强行获取凭证来获得访问权。该恶意软件包括一个近3000个密码的列表,它只针对SQL服务器使用。

12月,我们发现了另一个跨操作系统的挖掘机器人,我们称之为XMRig Miner Dropper。它的目标是运行MySQL、Tomcat和Jenkins的服务器以及凭证较弱或脆弱的WebLogic。根据底层操作系统的不同,该机器人提供了一个用于执行shell脚本或PowerShell脚本的有效载荷。一旦它入侵机器,它就会安装一个密码器,并试图利用其他服务器。

2016年9月,Mirai的源代码被发布。这导致许多新的僵尸网络从Mirai源代码中衍生出来。虽然该僵尸代码是用C++编写的,但该代码的发布为其他恶意软件作者用不同语言编写类似的僵尸提供了蓝本。2020年1月,Bitdefender发布了一份报告,介绍了一个用Go编写的受Mirai启发的新僵尸网络,他们将其命名为LiquorBot。该僵尸网络本质上是Mirai在Go中的重新实现,目标是运行在ARM(32位和64位)、x86(32位和64位)和MIPS上的Linux设备。该僵尸通过强行获取SSH证书和利用路由器的已知漏洞进行传播。一旦它获得了设备的访问权限,它就会试图感染其他人,并且还安装了一个Monero密码器。

LiquorBot并不是唯一受Mirai启发的僵尸网络。4月,我们发现了Kaiji,这是一个通过SSH蛮横强迫来针对Linux服务器和物联网设备的僵尸网络。除了强行插入薄弱的凭证外,该僵尸还试图使用在受感染机器上发现的本地SSH密钥来传播到企业内的其他机器。与Mirai类似,Kaiji允许僵尸管理员对他们选择的任何基础设施发起DDoS攻击。攻击包括两个TCPFlood实现(一个带有原始套接字)、两个UDPFlood实现(一个带有原始套接字)、IPSpoof攻击、SYNACK攻击、SYN攻击和ACK攻击。

2020年6月,Kaiji将其目标方法扩大到包括暴露API套接字的服务器。该恶意软件开始在互联网上扫描端口2375暴露的主机。如果它找到了一个,它会尝试部署一个流氓Docker容器,并在容器中执行Kaiji。

Kaiji不是唯一一个针对暴露的Docker API的僵尸网络。2020年11月,NetLab 360报告发现了一种名为Blackrota的新恶意软件。Kinsing,也被称为h2Miner,已经被称为针对Docker API。2020年1月,阿里巴巴云的研究人员首次报道了Kinsing。该僵尸网络正在使用masscan寻找暴露Hadoop Yarn、Redis和Docker的机器。当它发现一台运行这些服务的服务器时,它会试图利用服务中的已知漏洞来进一步传播自己。5月,我们观察到Kinsing利用SaltStack的两个漏洞CVE-2020-11651和CVE-2020-11652进行传播。该恶意软件还开始使用LD-PRELOAD用户地rootkit来隐藏其进程。

SSH brute-force已经成为用Go编写的僵尸网络采用的主要攻击方式之一。我们发现了IPStorm的一个新的Linux变种,其中包括这种攻击向量。IPStorm是一个点对点(p2p)僵尸网络,于2019年5月首次被发现。它使用开源项目IPFS作为其网络骨干。除了原始的Windows变体,我们还发现了作为Linux变体的一部分,针对Android和物联网设备的变体。与本报告中的其他僵尸网络不同,IPStorm的目标不是安装矿机。相反,该僵尸网络似乎提供了一个代理网络。这个代理网络是作为互联网上的匿名代理网络出售的。

IPStorm不是唯一一个在2020年活跃的Go编写的p2p网络。2020年8月,Guardicore发布了一份关于他们从同年1月开始追踪的一个新的p2p僵尸网络的报告。该僵尸网络被命名为FritzFrog,通过强行使用弱小的凭证来感染机器。Guardicore称,该僵尸网络已经成功入侵了超过500台服务器,其中包括 “美国和欧洲的知名高教机构,以及一家铁路公司”。

5. 未来预测与结论

虽然与用其他语言编写的恶意软件相比,用Go编写的恶意软件数量相对较少,但同比增长幅度很大。这种增长速度很可能会继续下去,这意味着用Go编写的恶意软件将变得更加频繁。对于针对Linux环境的恶意软件来说,用Go编写的部分比针对Windows的恶意软件要大。这很可能导致,在根据针对特定系统的恶意软件总量统计中,针对Linux系统的恶意软件的比例将可能变得最大。

在目前用Go编写的Linux恶意软件中,有很大一部分是用于DDoS或安装密码器的机器人。这种趋势可能会持续下去。其他类型也可能会变得更加频繁。我们已经看到了针对Linux系统的Go勒索软件,而且有可能会出现更多的以窃取和加密有价值数据为目标的勒索软件。这与Proofpoint对2021年的预测一致,即勒索软件威胁行为者将开始更加关注攻击云端。这意味着企业应该采用专注于云的检测和预防产品,以确保他们的云环境受到保护。许多传统的防病毒和保护解决方案都是为了保护Windows环境而设计的,而Linux环境则更多地成为了”二等公民”。

根据CrowdStrike从2020年开始的事件报告,在40%的事件中,恶意软件没有被反病毒产品检测到。除此之外,Go恶意软件一直很难被反病毒产品检测到,所以这种趋势很可能会继续下去。我们已经看到威胁行为者以相同的恶意软件代码库为中心,针对不同的操作系统进行攻击,导致恶意软件样本较少或未被检测到。由于恶意软件来自相同的代码库,因此使用代码基因的检测方法非常有效。未来我们很可能会看到更多针对多个操作系统的恶意软件,因为像Go这样的编程语言为恶意软件作者提供了一种简单的交叉编译恶意软件的方法。

在Windows方面,许多威胁行为者已经使用Go来制作勒索软件。未来这种趋势很可能会继续下去。随着更多RaaS产品的出现,用Go编写勒索软件也不是不可能。由于能够轻松地进行交叉编译,RaaS运营商可以为他们的”客户”提供更广泛的目标。

Go是一种开源的编程语言,它是在Google内部开发的,目的是利用过去几十年在硬件上取得的进步。它的设计是为了让开发者能够轻松地制作快速、安全、以网络为中心的代码,并在当今的多核CPU上获益。这使得该语言得到了极大的应用,尤其是在云环境中。开发者并不是唯一采用Go的人。Go强大的跨平台交叉编译、优秀的网络实现和加密库以及原生的文件嵌入功能让其颇受恶意软件开发者的青睐! 在过去几年中,在市面上发现的用Go编写的新恶意软件几乎增加了2000%。这些恶意软件中有许多是针对Linux和物联网设备的僵尸网络,以安装加密矿机或将受感染的机器注册到DDoS僵尸网络中。此外,用Go编写的勒索软件似乎也变得更加普遍。一些用Go编写的著名勒索软件是Nefilim、EKANS和RobbinHood,这些勒索软件用于所谓的大型猎物攻击。

传统的反病毒解决方案似乎仍然难以检测到用Go编写的恶意软件。较新的技术不仅可以根据代码重用来判断恶意,还可以对威胁进行分类,已经取得了较大的成功,因为它们甚至可以处理Linux和Windows二进制文件之间的相似性。虽然用Go编写的恶意软件可能仍处于初级阶段,但它可能很快就会进入青春期,从而导致大量增加。


“Gopher部落”知识星球正式转正(从试运营星球变成了正式星球)!“gopher部落”旨在打造一个精品Go学习和进阶社群!高品质首发Go技术文章,“三天”首发阅读权,每年两期Go语言发展现状分析,每天提前1小时阅读到新鲜的Gopher日报,网课、技术专栏、图书内容前瞻,六小时内必答保证等满足你关于Go语言生态的所有需求!部落目前虽小,但持续力很强。在2021年上半年,部落将策划两个专题系列分享,并且是部落独享哦:

  • Go技术书籍的书摘和读书体会系列
  • Go与eBPF系列

Go技术专栏“改善Go语⾔编程质量的50个有效实践”正在慕课网火热热销中!本专栏主要满足广大gopher关于Go语言进阶的需求,围绕如何写出地道且高质量Go代码给出50条有效实践建议,上线后收到一致好评!欢迎大家订阅!目前该技术专栏正在新春促销!关注我的个人公众号“iamtonybai”,发送“go专栏活动”即可获取专栏专属优惠码,可在订阅专栏时抵扣20元哦(2021.2月末前有效)。

我的网课“Kubernetes实战:高可用集群搭建、配置、运维与应用”在慕课网热卖中,欢迎小伙伴们订阅学习!

img{512x368}

我爱发短信:企业级短信平台定制开发专家 https://tonybai.com/。smspush : 可部署在企业内部的定制化短信平台,三网覆盖,不惧大并发接入,可定制扩展; 短信内容你来定,不再受约束, 接口丰富,支持长短信,签名可选。2020年4月8日,中国三大电信运营商联合发布《5G消息白皮书》,51短信平台也会全新升级到“51商用消息平台”,全面支持5G RCS消息。

著名云主机服务厂商DigitalOcean发布最新的主机计划,入门级Droplet配置升级为:1 core CPU、1G内存、25G高速SSD,价格5$/月。有使用DigitalOcean需求的朋友,可以打开这个链接地址:https://m.do.co/c/bff6eed92687 开启你的DO主机之路。

Gopher Daily(Gopher每日新闻)归档仓库 – https://github.com/bigwhite/gopherdaily

我的联系方式:

  • 微博:https://weibo.com/bigwhite20xx
  • 微信公众号:iamtonybai
  • 博客:tonybai.com
  • github: https://github.com/bigwhite
  • “Gopher部落”知识星球:https://public.zsxq.com/groups/51284458844544

微信赞赏:
img{512x368}

商务合作方式:撰稿、出书、培训、在线课程、合伙创业、咨询、广告合作。

如发现本站页面被黑,比如:挂载广告、挖矿等恶意代码,请朋友们及时联系我。十分感谢! Go语言第一课 Go语言精进之路1 Go语言精进之路2 商务合作请联系bigwhite.cn AT aliyun.com

欢迎使用邮件订阅我的博客

输入邮箱订阅本站,只要有新文章发布,就会第一时间发送邮件通知你哦!

这里是 Tony Bai的个人Blog,欢迎访问、订阅和留言! 订阅Feed请点击上面图片

如果您觉得这里的文章对您有帮助,请扫描上方二维码进行捐赠 ,加油后的Tony Bai将会为您呈现更多精彩的文章,谢谢!

如果您希望通过微信捐赠,请用微信客户端扫描下方赞赏码:

如果您希望通过比特币或以太币捐赠,可以扫描下方二维码:

比特币:

以太币:

如果您喜欢通过微信浏览本站内容,可以扫描下方二维码,订阅本站官方微信订阅号“iamtonybai”;点击二维码,可直达本人官方微博主页^_^:
本站Powered by Digital Ocean VPS。
选择Digital Ocean VPS主机,即可获得10美元现金充值,可 免费使用两个月哟! 著名主机提供商Linode 10$优惠码:linode10,在 这里注册即可免费获 得。阿里云推荐码: 1WFZ0V立享9折!


View Tony Bai's profile on LinkedIn
DigitalOcean Referral Badge

文章

评论

  • 正在加载...

分类

标签

归档



View My Stats