7.1.0 - 重要安全修复

[Ghost-chu]

Caution

本版包含重要安全修复，不管出于任何理由，您都应该更新到此修复版本。

关键安全性修复

• 【重要】修复了因错误使用 ORM 框架导致潜在 SQL 注入的问题 @Ghost-chu @paulzzh
  • 恶意攻击者可通过在查询参数中插入 SQL 片段，执行任意 SQL 查询
• 【重要】修复了登录接口的 POST 登陆方式没有覆盖暴力破解防护的问题 @Ghost-chu
  • 恶意攻击者可能对登录接口发起暴力破解穷举 WebUI Token 以获取 WebUI 访问权限，并间接获取连接的下载器的 WebUI 权限
• 添加了 robots.txt 并拒绝任何搜索引擎索引并避免在搜索引擎中暴露，但依然可能被 Censys 等网络空间测绘引擎发现，建议使用防火墙保护 @Ghost-chu
  • 如果 PBH 部署在二级目录下，请自行管理 robots.txt
• 仅在登录阶段传递 Token，避免明文 WebUI Token 泄露

新功能

• 图表数据现在支持分下载器查看 @Gaojianli @Ghost-chu @paulzzh
• WebUI 现在支持自定义脚本编辑 @Gaojianli @Ghost-chu
  • 通过编程的方式构建自己的反吸血逻辑
  • 只有在局域网内直接访问 WebUI 才能添加和编辑脚本；通过互联网或者反向代理访问时，仅能查看脚本，不可添加修改编辑
  • 安全警告：自定义脚本可执行任意代码，请仅添加来自可信来源的脚本
• 【重要】BTN 新增 “脚本规则” 规则类型，PeerBanHelper 现在可接收来自 BTN 服务器下发的脚本以提升基于云的检测防护能力，提高封禁的灵活和精确性 @Ghost-chu
  • 需要手动在 “设置->首选项->BTN” 开启 “启用脚本执行” 开关，此功能才会生效。请仅在可信 BTN 服务器上启用此功能。
• WebUI 现在可以进行堆内存转储 @Gaojianli
• BTN 能力列表页面现在可查看云端规则数量和规则版本号 @Gaojianli @Ghost-chu
• 其它用户体验改善

错误修复

• **【重要】优化了 IPMatcher 的CPU和内存占用，解决了困扰已久的规则过多时内存溢出的问题并大幅缩短了匹配 IP 时的 CPU 占用和匹配耗时，现在空载内存仅需要

---

This discussion was created from the release 7.1.0 - 重要安全修复.

[poplar-at-twilight]

• 【重要】优化了 IPMatcher 的CPU和内存占用，解决了困扰已久的规则过多时内存溢出的问题并大幅缩短了匹配 IP 时的 CPU 占用和匹配耗时，现在空载内存仅需要 92MB（GUI） @Ghost-chu @paulzzh
  • 请注意：自 2024/11/06 后，旧版本（< 7.1.0） PBH 可能由于 IP 屏蔽列表的增长而耗尽内存，为了保证正常运行，请升级版本或者更改其最大堆内存

所以，依旧是推荐设置为 -Xmx512M 吗？

[Ghost-chu]

512M 是推荐的，新版本优化后内存占用能压缩到 100MB 左右

[poplar-at-twilight]

个人建议可以在 PeerBanHelper 的初始配置中，启用 隐藏完成日志。它可以减少日志文件的数量。

PeerBanHelper 平时都在后台自动运行，隐藏完成日志 可以让日志信息更加紧凑，简短，有利于快速浏览。