在九月的最后两周，由于一系列针对我们 Web 服务器的攻击，我们登上了新闻头条。今天，我们想向大家简要更新一下我们网站的状态，并回顾一下过去两周发生的事情。

jQuery 遭受攻击

9 月 18 日早上，我们遭受了 DDoS 攻击并离线。我们宕机了几个小时。当天晚些时候，9 月 18 日，网站恢复了，一切似乎都很好。

后来，9 月 18 日下午，一家名为 RiskIQ 的安全公司联系了我们，报告他们的爬虫报告我们的内容站点正在提供恶意软件。从未有报告称 jQuery 库或 CDN 受到过损害。收到该报告后，我们立即销毁并重新镜像了所有这些机器，撤销并重新颁发了所有相关的 SSL 证书，并确认此时没有正在提供任何可疑内容。从那时起，我们的团队和 Mozilla 和 MaxCDN 的安全专家一直在努力分析日志并尝试确认这次攻击的影响。

9 月 23 日，RiskIQ 公布了他们的报告，该报告在当天在各种媒体和 Twitter 上引起了轰动。第二天早上，9 月 24 日，随着针对我们属性的 DDoS 攻击继续增加频率和规模，CVE-2014-6271，也称为 ShellShock 漏洞，被发布。当我们继续响应媒体讨论并向社区传达 9 月 18 日发生的事情时，我们再次遭受了一系列更公开的攻击，涉及反复破坏 jquery.com。

对我们系统的调查尚未找到最初的攻击向量。但是，我们采取了一些措施来提高安全性。例如，我们的一些 WordPress 安装已过时，我们所有的服务器都容易受到最近的 shell 漏洞的影响，NGINX 也略微过时，以及可能还有其他需要修补的补丁等。基础设施团队深入研究并开始进行这些更改，并开始构建新的、完全修补和安全的服务器来托管我们的站点。这些更改似乎有效，因为破坏停止了，我们没有看到任何入侵证据。

9 月 24 日晚些时候，一场大规模且不间断的 DDoS 攻击开始了。似乎它会一波接一波地来，但直到 9 月 28 日晚些时候才停止。9 月 26 日和 27 日的大部分时间都花在尝试实施各种产品和解决方案以保持服务器运行上。我们日夜奋战，试图让网站保持在线。我们必须赞扬 Corey Frang、Adam Ulvi、其余基础设施团队和其他人；他们通宵工作并轮班工作，试图让我们保持在互联网上。如果没有他们的努力，我们不会有我们所做的短暂的正常运行时间。我们采取的一个重要步骤是联系 CloudFlare，他们慷慨地快速地向我们提供了对其企业服务的访问权限，这在减轻这些攻击方面非常有帮助。

展望未来

jQuery 和 jQuery 基金会对 Web 生态系统至关重要，正如媒体报道的数量和询问此攻击的关心个人和组织的数量所证明的那样。jQuery 基金会每天都在努力维护和改进我们的项目以及围绕这些项目的基础设施。这项工作的目标是继续让 Web 开发人员的工作更轻松，并确保他们在标准和浏览器领域拥有发言权。但是，这些目标需要大量的资源。无论这些资源是通过公司员工的专业知识或服务的提供，还是通过财务支持提供，如果没有开源社区和支持成员的支持，我们将无法继续这项重要工作。

在这次事件中，我们被问到多次，为什么我们没有实施 XYZ 服务，或者为什么我们的安全团队没有更密切地关注这些类型的风险。简单的答案是我们的预算很紧张，资源有限。我们的基础设施团队和我们的大多数团队都是志愿者，他们免费贡献时间来确保一切正常运行。 Heartbleed 和 ShellShock 漏洞是开源项目被认为理所当然并被假定为没问题的例子。最终，某些东西会从裂缝中掉出来，当人们在业余时间做他们能做的事情时，这些裂缝会变得更大更频繁。

那么您如何提供帮助呢？作为个人，您可以参与我们的一个项目。我们总是需要帮助编写代码、设计、维护服务器、组织活动等等。请访问 contribute.jquery.org 或在 IRC 上与我们打个招呼，在 irc.jquery.org 上列出的众多频道之一。作为组织，我们很乐意听取您可能愿意捐赠的任何服务，您每周可以抽出几小时的开发人员或其他技术人员，或者您能提供财务支持。请发送消息至 membership@jquery.org，告诉我们您能提供哪些帮助。

我们一直不希望过多地谈论这些攻击事件，因为它们一直在发生，因为我们仍然是黑客眼中的一个有价值的目标，他们一直在试图渗透我们的服务器，甚至截至目前仍在尝试。现在与社区分享所有这些信息，我们试图平衡解释正在发生的事情的必要性与公开声明我们认为已经控制住局势可能产生的反弹。

也就是说，我们目前认为我们已经控制住了局势。为此，我们要衷心感谢整个 jQuery 基础设施团队，他们撸起袖子，不知疲倦地努力解决这些问题，使我们恢复到良好的状态。我们将继续保持警惕，以确保我们社区用户所有资源的可靠性和安全性。