碎片收藏 / 资讯文档 / 网站工具 / GitHub 项目 / Bing 壁纸
Solidot 纯净版
控制计算机信息系统功能的
🤣以后 Windows 远程桌面和 Linux SSH 也都用手机号实名吧
公安部发布《网络犯罪防治法(征求意见稿)》
#长城

公安部发布《网络犯罪防治法(征求意见稿)》,意见反馈截止时间 2026 年 3 月 2 日。根据《征求意见稿》:第十五条 任何个人和组织制作、销售、提供具有下列功能的设备、软件、工具、服务的,应当到公安机关、电信等主管部门备案,并登记购买者、使用者的真实身份信息:
(一)具有批量控制网络账号、上网线路、智能终端等功能的;
(二)具有网络虚拟定位功能的;
(三)具有侵入、控制计算机信息系统功能的;
(四)其他由省级以上公安机关会同电信等主管部门认定的,可能被大量用于网络违法犯罪的设备、软件、工具、服务。
第二十四条 任何个人和组织不得违反国家有关规定,实施网络产品安全漏洞发现、收集、发布等违法犯罪活动,或者散布、传播重要信息系统的设计方案、网络拓扑、核心源代码等可能危害网络安全的信息。
第二十五条 未经省级以上网信部门、公安机关批准或者行业主管部门、运营者授权,任何个人、组织不得对网络安全等级保护第三级(含)以上的网络开展网络安全漏洞探测、渗透性测试等可能影响网络安全的活动。
未经设区的市级以上网信部门、公安机关批准或者行业主管部门、运营者授权,任何个人、组织不得对网络安全等级保护第二级(含)以下的网络开展网络安全漏洞探测、渗透性测试等可能影响网络安全的活动。
依法或者经批准、授权开展的,应当在活动实施五个工作日前向县级以上公安机关报告。法律、行政法规另有规定的,从其规定。

https://www.mps.gov.cn/n2254536/n4904355/c10386242/content.html
https://github.com/zly2006/zhihu-plus-plus

仅 3 MB 大小的第三方知乎手机客户端,蹲坑神器。去广告,去推广软文,去推销带货,去盐选专栏。

支持手机端 / 网页端 / 混合等多种推荐方案。

可以设置屏蔽词、AI 屏蔽回答、屏蔽用户、屏蔽话题等 GitHub - zly2006/zhihu-plus-plus: 去广告、占用低、AI大模型powered的新时代知乎安卓端体验。
Telegram 近日大规模封禁了一批频道与群组,原因暂未知,或与大量分享 apk 文件有关。
以下是被封禁频道与群组列表及其重建,如有补充请于评论区告知:

@BDovo_Channel -> @BDovo_Pro
@vvb2060Channel
@eqewe -> @vzqll
@AppManagerDebug
@sevtinge_channel
@ArkMeme -> @ArkMemeRe
@xiaoyunekonow
@swiminthedream
@kemonofriends1
@CanyieChannel
@HCT_Giantfrisbee
@lsposed_Modules_Updates_Tracker
@ArkriaDailyChannel
@ohmyusers
@biubiubiuchat
@GenshinOverseas
飞牛发布安全告警,并收集入侵行为和散布谣言者线索

飞牛表示:目前飞牛已向全体未升级的注册用户发送紧急短信提醒。

同时,我们也注意到存在第三方人员,恶意利用已公开漏洞,对未升级设备实施入侵的情况。此类行为已涉嫌破坏计算机信息系统罪,公安机关和国家通信部门已介入此类案件调查并固定相关证据,移交公安机关网络安全部门处理。

如您掌握相关线索,例如:提供入侵教程、进行入侵行为、散布谣言,欢迎通过安全邮箱向我们提供信息,协助打击网络犯罪。

—— 飞牛安全应急响应团队
中银香港 Boc Pay+ 优惠
注册 Boc Pay + (有单独 App,也可在中银香港 App 中注册,再去 Boc Pay+ 登录)
登录后在底部 Tab 栏最左边 扫描,可以扫微信的个人收款码
付款金额大于 5 元,如 5.01 / 5.02,完成支付后显示实付 0.01/0.02
2 3 4 三个月,每月 4 次优惠,共 12 次。
名额有限,用完即止
关于飞牛系统(fnOS)无需认证远程代码执行漏洞链的复现

经过分析与验证,我们已成功复现飞牛系统(fnOS)中的一个严重远程代码执行(RCE)漏洞链。该漏洞链允许攻击者在无需任何身份验证的情况下,远程获取设备的最高管理员(root)权限,从而完全控制设备。

测试环境: FnOS 1.1.14

我们成功复现的攻击链由以下四个关键漏洞构成:
1. 漏洞一:路径穿越(任意文件读取)

描述:系统的一个Web接口(/app-center-static/serviceicon/myapp/...)未能正确过滤用户输入的路径,允许攻击者读取服务器文件系统上的任意文件。
在此攻击链中的作用:用于下载一个伪装成RSA私钥、但实际内嵌了硬编码AES密钥的文件 (/usr/trim/etc/rsa_private_key.pem)。这是整个攻击的起点。

2. 漏洞二:硬编码的加密密钥

描述:上述下载的文件中,在固定偏移量(100字节处)硬编码了一个32字节的AES主密钥(Root Key)。
在此攻击链中的作用:为攻击者提供了“万能钥匙”。这是后续伪造合法用户凭证的核心要素。

3. 漏洞三:认证绕过(通过伪造Token)

描述:系统的WebSocket网关在验证用户身份时存在致命逻辑缺陷。它允许攻击者使用上述获取的AES主密钥,在本地凭空“创造”出一个服务器会认为是合法的临时token。
在此攻击链中的作用:攻击者利用此漏洞,无需任何用户名和密码,即可伪造出一个“已登录”的管理员身份,从而有权调用需要高权限的API接口。

4. 漏洞四:命令注入

描述:在通过认证后,一个用于添加Docker镜像的API接口(appcgi.dockermgr.systemMirrorAdd)未能正确处理其url参数。
在此攻击链中的作用:这是最终的执行环节。攻击者将恶意系统命令(如反弹Shell或下载执行脚本)注入到url参数中,服务器在处理该请求时会无条件执行这些命令
Media is too big
VIEW IN TELEGRAM
Tokentap (原 Sherlock) - LLM CLI 工具 Token/Context 追踪,成本统计

https://github.com/jmuncor/tokentap

通过代理 LLM API 请求,终端面板实时显示 Token 消耗情况、监控上下文窗口(Context)使用、自动保存 Prompt 为 markdown 文件,支持 Anthropic Claude、OpenAI Codex、Google Gemini CLI 等。

#AI #Tool #GitHub GitHub - jmuncor/tokentap: Intercept LLM API traffic and visualize token usage in a real-time terminal dashboard. Track costs,…
Back to Top
OKHK